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Einführung 

Die Berichtsperiode war geprägt von der längst überfälligen Diskussion über die 
Fortentwicklung des Datenschutzes. Die wichtigsten Impulse dafür sefzte die Euro- 
päische Kommission mit ihren Gesetzesvorschlägen für einen europaweiten und mo- 
dernen Datenschutz. 

Leider wurde die überfällige Modernisierung des Datenschutzrechts in der deutschen 
Politik - entgegen wiederholter Ankündigungen der Bundesregierung - nicht ange- 
gangen. Bedauerlich ist es insbesondere, dass auch die Bemühungen um einen ver- 
besserten Beschäftigtendatenschutz, über die ich schon vor zwei Jahren berichtet 
hatte, nicht vorangekommen sind. Zugleich sehen wir, dass die Bemühungen einzel- 
ner Datenschutzaufsichtsbehörden, global agierende Intemetkonzeme zur Einhal- 
tung der Datenschutzbestimmungen zu verpflichten, schnell an Grenzen stoßen. Die- 
ses nationale Vakuum kann nur von europäischer Ebene befällt werden. 

Auch wenn die von der Europäischen Kommission vorgelegten Vorschläge verbesse- 
rungs- und diskussionsbedürftig sind, handelt es sich dabei um ein sehr ambitionier- 
tes und wichtiges Vorhaben. Personenbezogene Daten können angesichts der 
Globalisierung von Datenströmen nur effektiv geschützt werden, wenn die Rechts- 
vorschriften mindestens europaweit harmonisiert, die grenzüberschreitende Koordi- 
nierung der Datenschutzaufsicht verbessert und wirksamere Sanktionsmöglichkeiten 
bei Verstößen gewährleistet werden. 

Seit Inkrafttreten des Vertrags von Lissabon ist der Datenschutz ein europäisches 
Grundrecht. Deshalb ist es auch konsequent, dass das EU -Datenschutz-Paket nicht 
nur die Wirtschaft, sondern auch den öffentlichen Sektor umfasst. Neben einer Da- 
tenschutz-„Grundverordnung“ soll der Datenschutz bei Polizei- und Justizbehörden 
durch eine eigene Richtlinie garantiert werden. Bei deren Umsetzung in deutsches 
Recht müssen die vom Bundesverfassungsgericht formulierten Anforderungen wei- 
terhin gewährleistet bleiben. 

Das Datenschutz-Grundrecht kann aber nicht allein durch rechtliche Regelungen ga- 
rantiert werden, ln weitaus stärkerem Maße als bisher bedarf es technischer Gestal- 
tungsanforderungen, also privacy by design und privacy by default, und verfahrens- 
mäßiger Sicherungen, etwa Datenschutzfolgeabschätzungen und Gütesiegel. Hier ist 
die Wirtschaft in der Pflicht. Dies gilt umso mehr, als die Verknüpfung und Auswer- 
tung personenbezogener Daten, Stichwort Big Data, große wirtschaftliche Chancen 
eröffnen wird. 

ln die europäische Datenschutzdiskussion greifen auch mächtige wirtschaftliche In- 
teressenvertretungen und Regierungsvertreter aus Drittstaaten ein. Vielfach werden 
dabei dramatische wirtschaftliche Nachteile beschworen, falls das europäische Da- 
tenschutzniveau wie geplant angehoben wird. Ich kann diese Argumente kaum nach- 
vollziehen. Dies gilt insbesondere für die vor allem von Vertretern der Wirtschaft er- 
hobene Forderung, das Datenschutzrecht dadurch zu „entschlacken“, dass man die 
angeblich unsensiblen Daten ganz ausklammert. Wie das Bundesverfassungsgericht 
schon vor vielen Jahren festgestellt hat, gibt es im Zeitalter der automatisierten Da- 
tenverarbeitung keine ihrer Natur nach unsensiblen personenbezogenen Daten. Diese 
Feststellung ist nach wie vor richtig. Ich habe mich deshalb darüber gefreut, dass der 
69. Deutsche Juristentag 2012 Forderungen zur Verwässerung des Datenschutzes 
eine Absage erteilt hat. 

Der Datenschutz war seit eh und je eine Reaktion auf Herausforderungen der Tech- 
nik. Informationstechnik in Einklang mit gesellschaftlichen Werten zu gestalten, ist 
nach wie vor das Ziel des Datenschutzes. Ich sehe keinen Grund, warum unsere Ge- 
sellschaft im Intemetzeitalter davon abrücken und sich vermeintlichen technischen 
oder wirtschaftlichen Sachzwängen bedingungslos ausliefem sollte. 

Die Jahre 2011/2012 lassen sich auch mit beeindruckenden Zahlen beschreiben: 
9 729 Bürgerinnen und Bürger haben sich in diesem Zeitraum an mich gewandt. 
Meine 85 Mitarbeiterinnen und Mitarbeiter haben 106 Kontrollen durchgeführt. Da- 
bei musste ich insgesamt 15 Beanstandungen aussprechen. 
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Auch in dieser Berichtsperiode hat der Einsatz für den Datenschutz eine breite Un- 
terstützung erfahren, für die ich mich bedanken möchte. Mein besonderer Dank gilt 
den Abgeordneten des Deutschen Bundestages aller Fraktionen und anderen Vertre- 
terinnen und Vertretern öffentlicher und privater Stellen, die sich für den Dafen- 
schutz eingesetzt haben. Mein Dank richtet sich auch an die Bürgerinnen und Bürger, 
die auf Missstände hingewiesen und so zu einer schrittweisen Verbesserung der Da- 
tenschutzpraxis beigetragen haben. Ganz herzlich möchte ich schließlich meinen 
Mitarbeiterinnen und Mitarbeitern danken, die mit ihrer engagierten Arbeit einen 
wesentlichen Beitrag zur Stärkung des Datenschutzes geleistet haben. 

Peter Schaar 
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1 Zusammenfassung aller Empfehlungen 

Ich empfehle der Bundesregierung, bei der Europäischen 
Ermittlungsanordnung (EEA) ein hohes grundrechtliches 
Schutzniveau zu gewährleisten (vgl. Nr. 2.2.1). 

Ich empfehle der Bundesregierung, sich im Rahmen der 
Beratungen zur EU-Verordnung über elektronische Identi- 
fizierung und Vertrauensdienste weiterhin für datenschutz- 
rechtliche Verbesserungen einzusetzen (vgl. Nr. 2.3.4). 

Die Vorgaben des EuGH in seinem Urteil zur Unabhängig- 
keit der österreichischen Datenschutzkommission müssen 
auch für den BfDl umgesetzt werden (vgl. Nr. 3.1). 

Der Einsatz der Videoüberwachungstechnik in der Bun- 
desverwaltung ist datenschutzkonform auszugestalten 
(vgl. Nr. 3.3.1). 

Die Konzeption der Stiftung Datenschutz sollte so überar- 
beitet werden, dass sie ihre Aufgaben effektiv und wirk- 
lich unabhängig wahmehmen kann (vgl. Nr. 3.6). 

Ich empfehle der Bundesregierung, bei der Suche nach 
Optimierungsmöglichkeiten im sozialversicherungsrecht- 
lichen Datenaustausch frühzeitig die datenschutzrechtli- 
chen Aspekte der einzelnen Prozesse zu berücksichtigen 
(vgl. Nr. 4.2.1). 

Aufgrund der Entscheidung des Bundesgerichtshofs 
(BGH) zu den Voraussetzungen des Auskunftsanspruchs 
nach § 101 Urheberrechtsgesetz (UrhG) werden künftig 
wohl mehr Kundendaten von Intemetzugangsanbietem an 
Rechteinhaber übermittelt werden. Da der Auskunfts- 
anspruch auf gravierende Rechtsverletzungen beschränkt 
werden sollte, empfehle ich dem Gesetzgeber, die 
geltende Rechtslage zu überprüfen und sie unter dem 
Gesichtspunkt der Verhältnismäßigkeit anzupassen 
(Nr. 5.2). 

Bei der Inanspruchnahme von Cloud-Diensten sollten Auf- 
traggeber den Cloud-Dienstleister sorgfältig auswählen, 
Einzelheiten zu Datenschutz und Datensicherheit genau re- 
geln und die Staaten festlegen, in denen die Daten gespei- 
chert und verarbeitet werden. Insbesondere (sensible) per- 
sonenbezogene Daten sollten vor dem Einbringen in die 
Cloud unter alleiniger Kontrolle des Auftraggebers nach 
dem Stand der Technik verschlüsselt werden (vgl. Nr. 5.3). 

Ich empfehle der Bundesregierung, Eingriffsbefugnisse 
der Sicherheitsbehörden in regelmäßigen Abständen auf 
ihre Effektivität, Notwendigkeit und Verhältnismäßigkeit 
zu überprüfen (vgl. Nr. 7.1). 

Ich empfehle dem Gesetzgeber, den Sicherheitsbehörden 
nur auf der Grundlage einer umfassenden Evaluation 
neue Befugnisse einzuräumen und hierbei den „Leitfaden 
zur Durchführung von ex-post-Gesefzesevaluationen un- 
ter besonderer Berücksichtigung der datenschutzrechtli- 
chen Folgen“ zu berücksichtigen (vgl. Nr. 7.1). 

Ich empfehle dem Gesetzgeber, das Antiterrordateigesetz 
(ATDG) grundlegend zu evaluieren, die festgestellten 
Mängel und Defizite zu beheben (vgl. Nr. 7.2) und hie- 
raus Schlussfolgerungen für das Rechtsexfremismusdatei- 
gesefz (REDG) zu ziehen (vgl. Nr. 7.3). 

Ich empfehle dem Gesetzgeber, im Gesetz zur Bekämp- 
fung des Rechtsextremismus (REDG) Regelungen zum 


Schutz unbescholtener Personen hinreichend bestimmt 
und verhältnismäßig auszugestalten (vgl. Nr. 7.3). 

Ich empfehle der Bundesregierung, bei standardisierten 
Leistungsbeschreibungen für die Entwicklung einer Soft- 
ware zur Durchführung von Quellen-Telekommunikations- 
überwachungen und anderen eingriffsintensiven Maßnah- 
men festzulegen, dass die Funktionalität der Software klar 
zu regeln und sicherzustellen, dass insbesondere der Quell- 
code den Datenschutzbehörden für Kontrollzwecke bedin- 
gungsfrei zur Verfügung sfeht (vgl. Nr. 7.4.1). 

Ich empfehle der Bundesregierung, bei der Entwicklung 
des Polizeilichen Informations- und Analysebundes 
(PlAV) zentrale datenschutzrechtliche Vorgaben zu be- 
achten und im INPOL- Verbund die Speicherung sog. per- 
sonenbezogener Hinweise (PHW) nur auf der Grundlage 
klarer Kriterien vorzunehmen (vgl. Nr. 7.4.5). 

Ich empfehle den Polizeibehörden des Bundes, bei Fahn- 
dungsaufrufen im Internet und in sozialen Netzwerken 
den besonderen Bedingungen dieser Medien Rechnung 
zu tragen und insbesondere die von der Konferenz der 
Datenschutzbeauftragten des Bundes und der Länder ent- 
wickelten Eckpunkte zu beachten (vgl. Nr. 7.4.7). 

Ich empfehle der Bundesregierung, die derzeitige AEO- 
Zertifizierungspraxis einer baldigen und umfassenden 
Evaluation zu unterziehen (Nr. 7.5.1). 

Ich empfehle dem Gesetzgeber, eine im Lichte der NSU- 
Terrorakte notwendige Reform der Sicherheitsbehörden 
nur nach einer gründlichen und umfassenden Ermittlung 
der Ursachen und Fehlentwicklungen durchzuführen und 
dem Erfordernis einer effizienten Kontrolle der Nachrich- 
tendienste umfassend Rechnung zu tragen (vgl. Nr. 7.7.6). 

Ich empfehle dem Gesetzgeber, im Bundesbeamtengesetz 
eine ausreichende Rechtsgrundlage zu schaffen, damit For- 
schungsprojekte zur Aufarbeitung des Umgangs mit der 
NS -Vergangenheit von Mitarbeiterinnen und Mitarbeitern 
in Bundesministerien auf einer ausreichenden Rechts- 
grundlage durchgeführt werden können (vgl. Nr. 8.6). 

Ich empfehle dem Gesetzgeber, eine Neuvergabe der 
Steuer-ID in Fällen besonderer Schutzrisiken (z. B. Zeu- 
genschutz, Adoption, Transsexuelle) zu regeln (Nr. 9.2). 

Ich empfehle der Finanzverwaltung, im Zusammenhang 
mit der Umstellung des Verfahrens von der Papier- auf 
die Elektronische Lohnsteuerkarte die erforderlichen 
technisch-organisatorischen Maßnahmen zu ergreifen, die 
einen unzulässigen Abruf der in der zentralen Datenbank 
gespeicherten Elektronischen Daten soweit wie möglich 
ausschließen (Nr. 16.6; Wiederholung der Empfehlung 
aus dem 23. TB zu Nr. 9.3). 

Die Bundesregierung sollte bei der Festlegung der Daten- 
schutzstandards bei intelligenten Stromnetzen insbeson- 
dere in der Datenschutzverordnung nach dem Energie- 
wirtschaftsgesetz einen hohen Datenschutzstandard 
gewährleisten und die Zweckbindung, Datensparsamkeit 
und Erforderlichkeit berücksichtigen (vgl. Nr. 10.1). 

Der Gesetzgeber sollte der Empfehlung des Petitionsaus- 
schusses des Deutschen Bundestages folgen und in § 35 
Absafz 2 Safz 2 Nummer 4 BDSG (Speicherung von bo- 
nitätsbezogenen Daten) die Frist bereits mit dem Tag der 
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erstmaligen Speicherung der betreffenden Daten begin- 
nen lassen (vgl. Nr. 10.2). 

Ich empfehle den gesetzlichen Krankenkassen, den ver- 
stärkten Wettbewerb im Gesundheitswesen nicht zu Las- 
ten des Datenschutzes und der Persönlichkeitsrechte der 
Versicherten auszutragen (vgl. Nr. 11.1.1). 

Ich empfehle den gesetzlichen Krankenkassen, die dem Me- 
dizinischen Dienst der Krankenversicherung (MDK) vorbe- 
haltene Datenerhebung zu respektieren und dessen Kompe- 
tenzen nicht zu unterlaufen (vgl. Nr. 11.1.6 und 11.1 .7). 

Ich empfehle dem Gesetzgeber, in § 200 SGB Vll den 
Begriff des Gutachtens in der gesetzlichen Unfallversi- 
cherung klarzustellen (vgl. Nr. 11.4.1). 

Ich empfehle dem Gesetzgeber, sich in der nächsten Le- 
gislaturperiode des Themas Beschäftigtendatenschutz 
wieder anzunehmen und ein Beschäftigtendatenschutzge- 
setz zu schaffen, das die Registrierung und Überwachung 
am Arbeitsplatz wirksam beschränkt (vgl. Nr. 13.1). 

Ich empfehle dem Gesetzgeber, ein datenschutzrechtli- 
ches Auskunftsrecht des Betroffenen in der Abgabenord- 
nung zu verankern (Nr. 16.7). 

2 Europa und Internationales 

Auf die Herausforderungen, die sich aus der Globalisie- 
rung der Informationsverarbeitung ergeben, kann der Da- 
tenschutz immer weniger mit rein nationalen Instrumen- 
ten antworten. Dies gilt nicht nur für die Vorhaben zur 
Modernisierung der europäischen Datenschutzes. Im Fol- 
genden soll auf wesentliche Entwicklungen auf europäi- 
scher und internationaler Ebene eingegangen werden. 

2.1 Ein großer Wurf aus Brüssel: Die Reform 
des Europäischen Datenschutzrechts 

Die Europäische Kommission hat am 25. Januar 2012 
den Anstoß zu einer umfassenden Reform des Europäi- 
schen Datenschutzrechts gegeben. Damit hat die Debatte 
um eine Modernisierung des Datenschutzrechts eine neue 

- nunmehr gesamteuropäische - Dynamik bekommen. 

Das von der Kommission vorgelegte Reformpaket besteht 
aus drei Teilen: 

- Mitteilung der Kommission „Der Schutz der Privat- 
sphäre in einer vernetzten Welt. Ein europäischer 
Datenschutzrahmen für das 21. Jahrhundert“, 
KOM(2012) 9 endgültig 

- Vorschlag für eine Richtlinie zum Schutz natürlicher 
Personen bei der Verarbeitung personenbezogener 
Daten durch die zuständigen Behörden zum Zwecke 
der Verhütung, Aufdeckung, Untersuchung oder Ver- 
folgung von Straftaten oder der Strafvollstreckung 
sowie zum freien Datenverkehr (Jl-Richtlinie), 
KOM(2012) 10 endgültig 

- Vorschlag für eine Verordnung zum Schutz natürlicher 
Personen bei der Verarbeitung personenbezogener Da- 
ten und zum freien Datenverkehr (Datenschutz- 
Grundverordnung), KOM(2012) 11 endgültig 


Die Mitteilung der Europäischen Kommission erläutert den 
Reformbedarf des geltenden europäischen Datenschutz- 
rechts und begründet die grundsätzlichen Schlussfolgerun- 
gen, die sie mit den Entwürfen zweier Rechtsakte daraus 
zieht. Die Datenschutz-Grundverordnung erfasst die Verar- 
beitung personenbezogener Daten durch nicht-öffentliche 
Stellen sowie durch öffentliche Stellen, soweit es sich nicht 
um Polizei und Justiz handelt (vgl. Nr. 2.1.1). Die vorge- 
schlagene Jl-Richtlinie soll den Datenschutz im Bereich 
von Polizei und Justiz regeln (vgl. Nr. 2.1.2). 

Das anspruchsvolle Reformvorhaben soll vor allem dazu 
dienen, das bestehende, im Wesentlichen aus dem 
Jahre 1995 stammende, europäische Datenschutzrecht 
fortzuentwickeln und an die Herausforderungen der Da- 
tenverarbeitung im 21. Jahrhundert anzupassen. Insge- 
samt sehe ich die Initiative der Europäischen Kommis- 
sion sehr positiv, verbindet sie doch den Anspruch der 
Modernisierung des Datenschutzrechts mit dessen euro- 
paweiter Harmonisierung auf einem beachtlichen Niveau. 

Seit der Präsentation der Vorschläge durch die Kommis- 
sion wird darüber im Rahmen des Rechtsetzungsverfahrens 
im (aus den Regierungen der Mitgliedstaaten gebildeten) 
Rat der Europäischen Ünion sowie im Europäischen Parla- 
ment intensiv diskutiert. Die zuständige Ratsarbeitsgruppe 
DAPIX hat zunächst unter dänischer, anschließend unter 
zyprischer Präsidentschaft in zahlreichen Sitzungen über 
das Reformpaket beraten. Deutschland ist in der DAPIX 
federführend durch das Bundesministerium des Innern 
(BMI) vertreten. Ich hatte die Möglichkeit, auf Fachebene 
den Beratungen in der DAPIX beizuwohnen. Die Positio- 
nen der Bundesregierung werden innerstaatlich vor den 
Sitzungen der DAPIX zwischen den Ressorts abgestimmt. 
Auch hierbei wurde ich beteiligt. 

ln den vergangenen Monaten hat sich gezeigt, dass das 
BMI eine deutlich kritischere Position zu den Reformvor- 
schlägen einnimmt als ich. So werden in der öffentlichen 
Debatte, aber auch in den Verhandlungen im Rat die be- 
währte Systematik und Regelungsstruktur des Daten- 
schutzrechts wie etwa das Verbot mit Erlaubnisvorbehalt 
oder die Anknüpfung des Datenschutzrechts an den Be- 
griff des personenbezogenen Datums insgesamt in Frage 
gestellt. Die Diskussion über solche grundsätzlichen Fra- 
gen ist notwendig und muss geführt werden. Es erstaunt 
allerdings, dass diese Themen erst dann in den Diskurs 
eingebracht wurden, als nach zehnjährigem Stillstand auf 
nationaler Ebene konkrete Reformvorschläge auf euro- 
päischer Ebene Vorlagen. 

Die Berichterstatter des zuständigen LIBE-Ausschusses 
im Europäischen Parlament haben ihre ersten Stellung- 
nahmen mit entsprechenden Änderungsvorschlägen im 
Januar 2013 präsentiert. 

Neben dem formellen Rechtssetzungsverfahren auf euro- 
päischer Ebene findet eine intensive und umfassende 
öffentliche Debatte über das Reformpaket statt. Daten- 
schutzbehörden, Wirtschaft, Wissenschaft, Verwaltung und 
Zivilgesellschaft bringen ihre jeweiligen Vorstellungen und 
Bewertungen in den Diskurs ein. Offenbar wird allgemein 
anerkannt, dass das neue europäische Datenschutzrecht die 
rechtlichen Rahmenbedingungen für die nächsten Jahre 
festlegen wird. Dass die Datenschutzreform auch Auswir- 
kungen über die Grenzen der EU hinaus haben wird. 
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belegen die nieht unbeträchtlichen Bemühungen von Un- 
ternehmen, Lobbygruppen und Regierungsvertretem ins- 
besondere aus den Vereinigten Staaten von Amerika, den 
Rechtsetzungsprozess zu beeinflussen. 

Auch die Konferenz der Datenschutzbeauftragten des Bun- 
des und der Länder hat sich intensiv mit dem Reformpaket 
auseinandergesetzt. Sie hat auf ihrer 83. Konferenz in Pots- 
dam („Ein hohes Datenschutzniveau für ganz Europa!“) 
und ihrer 84. Konferenz in Frankfurt/Oder („Europäische 
Datenschutzreform konstruktiv und zügig voranbringen!“) 
jeweils Entschließungen verabschiedet (vgl. Kasten a 
undb zu Nr. 2.1). Im Juni 2012 haben die Datenschutzbe- 


auflragten umfassende gemeinsame Stellungnahmen zum 
Reformpaket abgegeben (vgl. Anlage 5). 

Es verwundert nicht, dass die Europäische Datenschutz- 
reform in letzter Zeit das zentrale Thema der europäi- 
schen Datenschutzgremien war, insbesondere der 
Frühjahrskonferenz 2012 der Europäischen Datenschutz- 
beauftragten und der Artikel-29-Gruppe, in der die Da- 
tenschutzbehörden der EU-Mitgliedstaaten Zusammen- 
wirken. Letztere hat sich bislang in zwei ausführlichen 
Stellungnahmen dazu geäußert (WP 191 und 199, abzu- 
rufen unter http://ec.europa.eu/justice/data-protection/ 
article-29/index_de.htm, vgl. auch Nr. 2.4.1). 

Kasten a zu Nr. 2.1 


Entschließung der 83. Konferenz der Datenschutzbeauftragten des Bundes und der Länder 
am 21./22. März 2012 in Potsdam 

Ein hohes Datenschutzniveau für ganz Europa! 

Die Konferenz der Datenschutzbeauflragten des Bundes und der Länder unterstützt die Absicht der Europäischen 
Kommission, den Datenschutz in der Europäischen Union zu modernisieren und zu harmonisieren. 

Der Entwurf einer Datenschutz-Grundverordnung enthält Regelungen, die zu einer Weiterentwicklung des europäi- 
schen Datenschutzrechts führen können. Dazu gehören vor allem 

- das Prinzip Datenschutz durch Technik, 

- der Gedanke datenschutzfreundlicher Voreinstellungen, 

- der Grundsatz der Datenübertragbarkeit, 

- das Recht auf Vergessen, 

- die verbesserte Transparenz durch Informationspflichten der verantwortlichen Stellen und 

- die verschärften Sanktionen bei Datenschutzverstößen. 

Hervorzuheben ist zudem die Geltung des europäischen Rechts für Anbieter aus Drittstaaten, deren Dienste sich auch 
an europäische Bürgerinnen und Bürger richten. 

Die Datenschutzbeauftragten des Bundes und der Länder halten es für wesentlich, dass bei der Harmonisierung des 
Datenschutzrechts ein möglichst hohes Niveau für alle Mitgliedstaaten vorgeschrieben wird. Die Konferenz hatte be- 
reits im Konsultationsverfahren die Auffassung vertreten, dass diesem Ziel angesichts der gewachsenen Traditionen 
und Rechtsstandards in den Mitgliedstaaten und der eingeschränkten begrenzten Rechtssetzungskompetenz der EU in 
Bezug auf innerstaatliche Datenverarbeitungsvorgänge im öffentlichen Bereich am wirksamsten durch eine Richtlinie 
Rechnung getragen werden kann. Wenn jetzt stattdessen der Entwurf einer unmittelbar geltenden Verordnung vorge- 
legt wird, muss diese im Sinne eines europäischen Mindestdatenschutzniveaus den Mitgliedstaaten zumindest in Be- 
zug auf die Datenverarbeitung der öffentlichen Verwaltung die Möglichkeit eröffnen, durch einzelstaatliches Recht 
weitergehende Regelungen zu treffen, die entsprechend der jeweiligen Rechtstradition die Grundrechte der Bürgerin- 
nen und Bürger absichem und Raum für eine innovative Rechtsfortbildung schaffen. Nur so können beispielsweise in 
Deutschland die in der Rechtsprechung des Bundesverfassungsgerichts entwickelten Datenschutzgrundsätze bewahrt 
und weiterentwickelt werden. 

Die Konferenz erkennt an, dass die Institution der betrieblichen Datenschutzbeauftragten erstmals verbindlich in 
Europa eingeführt werden soll. Die Erfahrungen in Deutschland mit den betrieblichen Datenschutzbeauflragten als 
unabhängige Kontroll- und Beratungsstellen in Unternehmen sind ausgesprochen positiv. Die Konferenz bedauert 
deshalb, dass die Kommission grundsätzlich nur Unternehmen mit mindestens 250 Beschäftigten zur Bestellung von 
Datenschutzbeauftragten verpflichten will. Dieses Vorhaben bedroht eine gewachsene und erfolgreiche Kultur des 
betrieblichen Datenschutzes in Deutschland. 

Über die bereits in dem Verordnungsentwurf vorgeschlagenen Modernisierungen hinaus hält die Konferenz weitere 
Schritte für erforderlich, die sie etwa in ihrem Eckpunktepapier für ein modernes Datenschutzrecht vom 18. März 
2010 vorgeschlagen hat: 

- eine strikte Reglementierung der Profilbildung, insbesondere deren Verbot bei Minderjährigen, 

- ein effektiver Schutz von Minderjährigen, insbesondere in Bezug auf das Einwilligungserfordemis eine Anhebung 
der Altersgrenze, 
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- die Förderung des Selbstdatenschutzes, 

- pauschalierte Schadensersatzansprüche bei Datenschutzverstößen, 

- einfache, flexible und praxistaugliche Regelungen zum technisch-organisatorischen Datenschutz, welche vor al- 
lem die Grundsätze der Vertraulichkeit, der Integrität, der Verfügbarkeit, der Nichtverkettbarkeit, der Transparenz 
und der Intervenierbarkeit anerkennen und ausgestalten, 

- das Recht, digital angebotene Dienste anonym oder unter Pseudonym nutzen zu können und 

- die grundsätzliche Pflicht zur Löschung der angefallenen Nutzerdaten nach dem Ende des Nutzungsvorganges. 

Die Regelungen zur Risikoanalyse, Vorabkontrolle und zur Zertifizierung bedürfen der weiteren Präzisierung in der 
Verordnung selbst. 

Für besonders problematisch hält die Konferenz die vorgesehenen zahlreichen Ermächtigungen der Europäischen 
Kommission für delegierte Rechtsakte, die dringend auf das unbedingt erforderliche Maß zu reduzieren sind. Alle für 
den Grundrechtsschutz wesentlichen Regelungen müssen in der Verordnung selbst bzw. durch Gesetze der Mitglied- 
staaten getroffen werden. 

Die Konferenz weist darüber hinaus darauf hin, dass das im Entwurf der Datenschutz-Grundverordnung vorgesehene 
Kohärenzverfahren, welches die Aufsichtsbehörden in ein komplexes Konsultationsverfahren einbindet, die Unab- 
hängigkeit der Datenschutzaufsicht beeinträchtigen und zu einer Bürokratisierung des Datenschutzes führen würde. 
Es muss deshalb vereinfacht und praktikabler gestaltet werden. 

Die durch Artikel 8 der EU-Grundrechte-Charta und Artikel 16 des Vertrags über die Arbeitsweise der Europäischen 
Union gewährleistete Unabhängigkeit der Datenschutzaufsichtsbehörden gilt auch gegenüber der Europäischen 
Kommission. Die vorgesehenen Befugnisse der Kommission in Bezug auf konkrete Maßnahmen der Aufsichtsbehör- 
den bei der Umsetzung der Verordnung wären damit nicht vereinbar. 

Wiederholt hat die Konferenz auf die Bedeutung eines hohen und gleichwertigen Datenschutzniveaus auch im Be- 
reich der polizeilichen und justiziellen Zusammenarbeit in Strafsachen in Europa hingewiesen. Sie bedauert, dass der 
für diesen Bereich vorgelegte Richtlinienentwurf in vielen Einzelfragen hinter dem Entwurf für eine Datenschutz- 
Grundverordnung und hinter dem deutschen Datenschutzniveau zurückbleibt, etwa im Hinblick auf die Prinzipien der 
Datenverarbeitung (wie den Grundsatz der Erforderlichkeit) und auf die Rechte der Betroffenen (insbesondere zum 
Schutz des Kembereiches der privaten Lebensgestaltung). Auch in diesem Bereich sollte die Richtlinie unter ange- 
messener Berücksichtigung der mitgliedsstaatlichen Verfassungstraditionen ein EU-weit möglichst hohes Mindestni- 
veau festschreiben. 

Die Konferenz erklärt, dass sie den Gang des Gesetzgebungsverfahrens konstruktiv und kritisch begleiten wird. 


Kasten b zu Nr. 2.1 


Entschließung der 84. Konferenz der Datenschutzbeauftragten des Bundes und der Länder 
am IM. November 2012 in Frankfurt (Oder) 

Europäische Datenschutzreform konstruktiv und zügig voranbringen! 

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder unterstützt die Absicht der Europäischen 
Kommission, den Datenschutz in Europa auf hohem Niveau zu harmonisieren. Sie hat dies bereits in ihrer Entschlie- 
ßung vom 21./22. März 2012 verdeutlicht, ln zwei umfassenden Stellungnahmen vom 11. Juni 2012 haben die Daten- 
schutzbeauftragten des Bundes und der Länder eine Vielzahl einzelner Aspekte der Datenschutzreform bewertet und 
Empfehlungen für den weiteren Rechtssetzungsprozess gegeben. 

Angesichts der aktuellen Diskussionen in Deutschland und im Rat der Europäischen Union sowie entsprechender Äu- 
ßerungen aus der Bundesregierung im Rahmen des Reformprozesses betont die Konferenz folgende Punkte: 

- Im Hinblick auf geforderte Ausnahmen für die Wirtschaft ist es für die Datenschutzbeauftragten des Bundes und der 
Länder unabdingbar, in der Datenschutz-Grundverordnung an der bisherigen Systematik des Datenschutzrechts fest- 
zuhalten. Personenbezogene Daten dürfen nur dann verarbeitet werden, wenn dies durch eine gesetzliche Grundlage 
oder die Einwilligung des Betroffenen legitimiert ist. Die hier für die Wirtschaft geforderten Ausnahmen lehnt die 
Konferenz ab. Wollte man in Zukunft nur noch eine besonders risikobehaftete Datenverarbeitung im Einzelfall re- 
geln und die so genannte alltägliche Datenverarbeitung weitgehend ungeregelt lassen, würde dies zu einer massiven 
Einschränkung des Datenschutzes führen und die Rechte der Betroffenen deutlich beschneiden. 
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Jede Verarbeitung scheinbar „belangloser“ Daten kann für den Einzelnen schwerwiegende Folgen haben, wie das 
Bundesverfassungsgericht bereits 1983 ausdrücklich klargestellt hat. Diese Aussage gilt heute mehr denn je. Des- 
halb lehnt es die Konferenz ab, angeblich „belanglose“ Daten von einer Regelung auszunehmen. 

Soweit die Datenschutz-Grundverordnung eine Datenverarbeitung erlaubt, enthält der Reformvorschlag der Kom- 
mission bereits jetzt Ansätze für am Risiko der Datenverarbeitung ausgerichtete Differenzierungen. Diese sollten 
dort, wo ein risikobezogener Ansatz angemessen ist, weiter ausgebaut werden. 

- Die Konferenz spricht sich nachdrücklich dafür aus, das bewährte Konzept eines grundsätzlich einheitlichen Da- 
tenschutzrechts sowohl für den öffentlichen als auch für den nicht-öffentlichen Bereich beizubehalten und insbe- 
sondere für die Datenverarbeitung im öffentlichen Bereich die Möglichkeit eines höheren Schutzniveaus durch 
einzelstaatliches Recht zu belassen. 

- Sie hält es für sinnvoll, für den Beschäftigtendatenschufz in der Datenschufz-Grundverordnung selbsf qualifizierte 
Mindestanforderungen festzulegen und klarzustellen, dass die Mitgliedstaaten über diese zugunsten des Daten- 
schutzes hinausgehen, sie aber nicht unterschreiten dürfen. 

- Mit Blick auf die Richtlinie im Bereich der polizeilichen und justiziellen Zusammenarbeit in Strafsachen bekräf- 
tigt die Konferenz nochmals die Bedeutung eines hohen und gleichwertigen Datenschutzniveaus auch in diesem 
Bereich und damit die Wichtigkeit der Verabschiedung einer entsprechenden Regelung. 

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder fordert die Bundesregierung auf, sich im 

Sinne dieser Positionen im Rat der Europäischen Union für die Belange eines harmonisierten Datenschutzrechts auf 

einem hohen Niveau einzusetzen. 


Die Begleitung der Europäischen Datenschutzreform be- 
deutet für meine Mitarbeiterinnen und Mitarbeiter eine 
enorme zusätzliche Herausforderung, die aufgrund ihrer 
Breite fast alle Referate meines Hauses betrifft. Um eine 
möglichst effektive und koordinierte Arbeit zu leisten, 
habe ich eine interne Projektgruppe eingerichtet, der Mit- 
arbeiter verschiedener Referate angehören. 

2.1.1 Die Datenschutz-Grundverordnung 

Die Datenschutz-Grundverordnung bildet den Kern der 
europäischen Datenschutzreform. Sie enthält die zentra- 
len Bausteine zur Modernisierung des Datenschutzrechts. 
Sie liegt daher bisher im Fokus der Beratungen im Rat 
der Europäischen Union und auch der öffentlichen Dis- 
kussion. 

Den mit der Datenschutz-Grundverordnung verfolgten 
Ansatz der Kommission sehe ich grundsätzlich sehr posi- 
tiv, denn sie bietet die Chance, die überfällige Moderni- 
sierung des im Kern aus den 1980er Jahren sfammenden 
Datenschutzrechts endlich anzugehen, ln diesem Zusam- 
menhang sei daran erinnert, dass die im Jahre 2001 
erfolgte Umsetzung der Europäischen Datenschutzricht- 
linie 95/46/EG von der Bundesregierung nur als Zwi- 
schenschritt zu einer umfassenden Modernisierung des 
Datenschutzrechts verstanden worden ist. Das Bundes- 
ministerium des Innern hatte seinerzeit ein Gutachten in 
Auftrag gegeben, das den Reformbedarf und die notwen- 
digen Schritte beleuchten sollte (vgl. 19. TB Nr. 1.2). 
Dieses Gutachten (von Roßnagel, Pfitzmann, Garstka - 
abrufbar unter http://www.datenschutz.bund.de) bot und 
bietet reichlich Stoff für eine fachliche und wissenschaft- 
liche Diskussion. Datenschutzpolitische Folgen im Sinne 
gesetzgeberischer Aktivitäten hatte es jedoch kaum, ln 
den vergangenen zehn Jahren wurde das Datenschutz- 
recht in Deutschland in einigen - zum Teil durchaus 


bedeutsamen - Details verändert, eine umfassende Mo- 
dernisierung blieb jedoch aus (zur Modernisierung des 
Datenschutzrechts vgl. auch 23. TB Nr. 1). 

Bei aller Zustimmung zur Initiative der Europäischen 
Kommission gibt es aber eine Reihe von Punkten, bei de- 
nen die Vorschläge noch deutlich nachgebessert werden 
müssen. Folgende Aspekte der Reform stehen derzeit im 
Mittelpunkt der Debatte. 

Grundsätzliche Regelungsstruktur 

Die Datenschutz-Grundverordnung hält an den bewährten 
Regelungsprinzipien und -Strukturen des geltenden Da- 
tenschutzrechts fest. Danach dürfen personenbezogene 
Daten nur dann erhoben, verarbeitet und genutzt werden, 
wenn es hierfür eine Rechtsgrundlage gibt oder soweit 
der Betroffene eingewilligt hat. Forderungen aus Politik 
und Wirtschaft, dieses Prinzip für die „belanglose Daten- 
verarbeitung“ aufzugeben, bin ich stets entgegengetreten. 
Darin sehe ich mich auch durch den 69. Deutschen Juris- 
tentag gestärkt, der entsprechende Forderungen jüngst zu- 
rückgewiesen hat (vgl. Beschlüsse des 69. Deutschen Ju- 
ristentages München 2012, S. 32 ff, abrufbar unter http:// 
www.djt.de/fileadmin/downloads/69/121206_djt_69_be 
schluesse_web_rz.pdf) 

Wollte man in Zukunft nur noch eine besonders risikobe- 
haftete Verarbeitung personenbezogener Daten im Einzel- 
fall regeln und die so genannte alltägliche Datenverarbei- 
tung weitgehend ungeregelt zulassen, würde dies zu einer 
massiven Einschränkung des Datenschutzes führen und 
die Rechfe der Betroffenen deutlich beschneiden. Jede 
Verarbeitung scheinbar „belangloser“ Daten kann für den 
Einzelnen schwerwiegende Folgen haben, wie das Bun- 
desverfassungsgericht bereits 1983 klargestellt hat. Diese 
Aussage gilt im Zeitalter des Internets und der allgegen- 
wärtigen Datenverarbeitung mehr denn je. 
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Auch ich halte es für richtig, die materiellen, organisatori- 
schen und formalen Anforderungen zur Gewährleistung 
des Datenschutzes am Risiko der Datenverarbeitung für 
die Rechte der Betroffenen auszurichten. Dies ist im Ent- 
wurf der Datenschutz-Grundverordnung an einigen Stel- 
len bereits der Fall, kann aber noch ausgebaut werden. 

Beim Anwendungsbereich des Datenschutzrechts und 
hinsichtlich der grundsätzlichen Anforderungen an eine 
Verarbeitung personenbezogener Daten und bei den 
grundlegenden Rechten der Betroffenen sollte es jedoch 
keine Abstriche geben. 

Die 84. Konferenz der Datenschutzbeauftragten des Bun- 
des und der Länder hat sich in ihrer Entschließung „Euro- 
päische Datenschutzreform konstruktiv und zügig voran- 
bringen!“ deutlich dazu geäußert (vgl. Kasten b zu Nr. 2.1). 

Gleiche Datenschutzregeln für Behörden und 
Unternehmen? 

Die Datenschutz-Grundverordnung unterwirft Unterneh- 
men, Vereine, Freiberufler, Gewerbetreibende grundsätz- 
lich den gleichen Datenschutzregeln wie Behörden und 
andere öffentliche Stellen, soweit es sich nicht um Poli- 
zei- oder Strafverfolgungsbehörden handelt. 

Dieser Ansatz ist schon in der geltenden Datenschutzricht- 
linie 95/46/EG verankert, ebenso wie im Datenschutzrecht 
der meisten Mitgliedstaaten der EU. ln Deutschland beste- 
hen allerdings traditionell getrennte Regelungssysteme 
für den öffentlichen und den nicht-öffentlichen Bereich. 
Dies hat vor allem verfassungsrechtliche Gründe: Wäh- 
rend sich bei der staatlichen Datenverarbeitung der 
Bürger als Träger von Grundrechten und der Staat als 
Grundrechtsverpflichteter gegenüber stehen, geht es beim 
Datenschutzrecht im Bereich der Wirtschaft um den Aus- 
gleich der Interessen verschiedener Grundrechtsträger. 

Diese verfassungsrechtlichen Unterschiede erfordern es 
allerdings nicht zwingend, unterschiedliche datenschutz- 
rechtliche Regelungsregime zu haben. Die grundlegenden 
Prinzipien sind für beide Bereiche gleich, auch wenn sie 
sich verfassungsrechtlich unterschiedlich herleiten lassen. 
Eine klare Trennung beider Bereiche wird auch immer 
schwieriger, da sich der Staat in zunehmendem Maße pri- 
vatrechtlich betätigt oder sich bei der Erfüllung seiner 
Aufgaben Privater bedient. 

Gleichwohl sollten den Mitgliedstaaten Spielräume ver- 
bleiben, die Anforderungen der Datenschutz-Grundver- 
ordnung durch nationales Recht zu konkretisieren. Es ist 
u. a. zu gewährleisten, dass sie konkret festlegen können, 
welche Datenkategorien zur Erfüllung welcher Aufgaben 
zu welchen Zwecken verarbeitet und an welche andere 
Stellen sie übermittelt werden dürfen. Derartige Regelun- 
gen finden sich in großer Zahl im bereichspezifischen Da- 
tenschutzrecht. Wie der Entwurf der Datenschutz-Grund- 
verordnung bereits vorsieht, muss sich die staatliche 
Datenverarbeitung auf Unions- oder mitgliedstaatliches 
Recht stützen. Dies ist in der Verordnung noch klarer 
herauszustellen, um hier Rechtssicherheit für die Mit- 
gliedstaaten zu schaffen. Allerdings muss der neue EU- 
Rechtsrahmen zum Anlass genommen werden, die im 


deutschen Recht sehr zahlreichen und insgesamt nicht im- 
mer konsistenten bereichsspezifischen Datenschutzbe- 
stimmungen zu überprüfen. 

Vorschläge, die Datenverarbeitung öffentlicher Stellen 
vollständig aus der Datenschutz-Grundverordnung her- 
auszulösen und ihre Regelung einer Richtlinie zu überlas- 
sen, halte ich für unrealistisch. Aus meiner Sicht können 
die erforderlichen Spielräume auch innerhalb der Verord- 
nung geschaffen werden, und es ist nicht notwendig, des- 
halb die gesamte Regelungsstruktur in Frage zu stellen 
und damit die Reform aufs Spiel zu setzen. Die mit der 
Verordnung angestrebte Harmonisierung des Datenschut- 
zes auch im öffentlichen Bereich sehe ich insbesondere 
angesichts des immer intensiveren europaweiten Daten- 
austauschs zwischen staatlichen Stellen positiv. Dadurch 
würde das Datenschutzniveau in einigen Mitgliedstaaten 
deutlich erhöht und damit letztlich auch der Schutz perso- 
nenbezogener Daten deutscher Bürgerinnen und Bürger 
verbessert. 

Zu viele Befugnisse der Kommission oder wer 
konkretisiert die Datenschutz-Grundverordnung? 

Der Entwurf der Datenschutz-Grundverordnung enthält 
eine große Zahl von Ermächtigungen für die Europäische 
Kommission, delegierte Rechtsakte oder Umsetzungs- 
rechtsakte zu erlassen. Diese Möglichkeit ist durch den 
Vertrag von Lissabon eingeführt worden und soll die 
Kommission in die Lage versetzen, ähnlich einer Rechts- 
verordnung nach deutschem Recht konkretisierende Vor- 
schriften zu erlassen. Dabei darf es sich allerdings nicht 
um wesentliche Fragen handeln. Diese müssen im förmli- 
chen Rechtssetzungsverfahren in den Rechtsakten (Ver- 
ordnung oder Richtlinie) unmittelbar festgelegt werden. 

Mit den Datenschutzbeauftragten der Länder und der Ar- 
tikel-29-Gruppe bin ich der Auffassung, dass die Kom- 
mission hier deutlich über das Ziel hinausgeschossen ist. 
So sind delegierte Rechtsakte in Fällen vorgesehen, in de- 
nen wesentliche Fragen geregelt werden sollen, die in der 
Verordnung selbst zu verankern wären, ln anderen Fällen 
besteht kein Bedarf für eine europaweit einheitliche Har- 
monisierung, sodass es auch hier keine Notwendigkeit 
delegierter Rechtsakte gibt. Vielfach kann die Konkreti- 
sierung der Bestimmungen der Datenschutz-Grundver- 
ordnung auch den verantwortlichen Stellen selbst, der 
Praxis der Aufsichtsbehörden oder dem künftig vorgese- 
henen Europäischen Datenschutzsausschuss überlassen 
werden. 

Die Artikel-29-Gruppe hat hierzu eine Einzelbewertung 
der Delegationsermächtigungen in ihrem Arbeitspa- 
pier 199 vorgenommen (vgl. Nr. 2.1). 

Das Marktortprinzip: Geltung des Datenschutzrechts 
auch für außereuropäische Unternehmen 

Bisher knüpft die Geltung des europäischen Datenschutz- 
rechts daran an, dass ein Unternehmen entweder seinen 
Sitz innerhalb der EU hat oder zumindest Mittel zur Da- 
tenverarbeitung nutzt, die sich in der EU befinden. Das 
Internet ermöglicht es aber auch Unternehmen, die in der 
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EU weder einen Sitz haben noch Mittel der Datenverar- 
beitung betreiben, Nutzer innerhalb der EU mit ihren An- 
geboten anzusprechen und deren personenbezogene Da- 
ten zu verarbeiten. Für solche Unternehmen, z. B. die 
Betreiber sozialer Netzwerke oder Suchmaschinen ohne 
verantwortliche Niederlassung in der EU, gilt bisher kein 
EU-Datenschutzrecht. Dies beeinträchtigt die Rechte der 
Betroffenen, erschwert deren Durchsetzung und stellt ei- 
nen klaren Wettbewerbsnachteil für Unternehmen mit 
Sitz innerhalb der EU dar. 

Deshalb haben nach der Grundverordnung auch Unter- 
nehmen mit Sitz außerhalb der EU auch dann das euro- 
päische Datenschutzrecht zu beachten, wenn sich ihre 
Dienstleistungsangebote bzw. Verkaufsaktivitäten an den 
europäischen Binnenmarkt richten und dabei personen- 
bezogene Daten erhoben werden. Dieser „targeting 
approach“ wird von den Datenschutzbehörden in der EU 
begrüßt, da dann für jede an Einwohner innerhalb der EU 
gerichtete Datenverarbeitung nunmehr die gleichen Rah- 
menbedingungen gelten, unabhängig vom Sitz des Unter- 
nehmens. 

Neue Instrumente des Datenschutzes: Recht auf 
Vergessenwerden und auf Datenühertragharkeit 

Die Risiken der elektronischen Datenverarbeitung erfor- 
dern innovative Ansätze. Das Recht auf Vergessen und 
das Recht auf Datenübertragbarkeit sollen die Datensou- 
veränität der Betroffenen fordern, müssen in ihren Aus- 
prägungen aber noch überdacht werden. 

Das Recht auf Vergessenwerden soll den Betroffenen in 
die Lage versetzen, nicht nur gegen den Urheber öffent- 
lich gemachter Daten vorzugehen. Sie sollen auch von 
Dritten die Löschung aller Verbindungen zu und Verviel- 
fältigungen von den veröffentlichten Daten verlangen 
können. Der Urheber der Veröffentlichung ist daher ver- 
pflichtet, im Rahmen des Zumutbaren alle Dritten, die die 
veröffentlichten Daten verarbeiten, über das Löschungs- 
ersuchen des Betroffenen zu informieren. 

Mit der Information der Dritten hat die Stelle, die die Da- 
ten ursprünglich veröffentlicht hat, allerdings ihre Schul- 
digkeit getan. Sie hat insbesondere nicht dafür Sorge zu 
fragen, dass Dritte, die die von ihr veröffentlichten Daten 
nutzen, dem Löschungsbegehren auch tatsächlich Folge 
leisten. Hier bleibt der Betroffene, wie schon bisher, auf 
sich alleine gestellt, ln Zweifelsfällen wird er daher seine 
Löschungsrechte nicht rechtlich durchsetzen können. 
Auch wenn das „Recht auf Vergessenwerden“ in seiner 
derzeitigen Gestalt die hohen Erwartungen nicht wirklich 
erfüllt, die sein Name verspricht, weist es im Vergleich 
zur geltenden Rechtslage immerhin eine Verbesserung 
auf: Der Betroffene muss sich nicht mit einer Vielzahl 
ihm unbekannter Dritter auseinandersetzen, sondern kann 
sich mit seinem umfassenden Löschungsbegehren unmit- 
telbar an den für die Veröffentlichung Verantwortlichen 
wenden, der dann Zweit- und Drittverwerter der von ihm 
veröffentlichten Daten informieren muss. Das Recht auf 
Vergessenwerden umfasst theoretisch auch Publikationen 
in Papierform, wobei völlig unklar ist, wie ein solches 


Recht in einer solchen Konstellation auch nur ansatz- 
weise durchsetzbar sein soll. Hier wäre eine Nachjustie- 
rung des Vorschlags durchaus wünschenswert (vgl. Kas- 
ten a zu Nr. 2.1.1). 

Das Recht auf Datenübertragbarkeit eröffnet dem Betrof- 
fenen die Möglichkeit, eine Kopie seiner Daten in elek- 
tronischer Form zu verlangen und persönliche Infor- 
mationen von einem auf einen anderen Anbieter zu 
übertragen. Man denke hier an den Nutzer eines sozialen 
Netzwerks, der sein Profil auf ein anderes Netzwerk über- 
tragen lassen möchte. Allerdings beschränkt sich dieses 
Recht nicht auf Web-2.0-Dienste, sondern gilt auch für 
andere Bereiche, etwa beim electronic banking oder bei 
Online-Versandhändlem. Da die elektronische Erfassung 
unseres Alltags zügig voranschreitet, etwa durch die Er- 
fassung des Clickstreams im Internet und Bewegungs-, 
Surf- oder Kaufprofile, greift das Recht auf Datenüber- 
tragbarkeit ein Grundproblem der informationellen 
Selbstbestimmung auf Während heute Unternehmen 
durch umfassende Datenspeicherung mehr über die Inte- 
ressen und das Verhalten des Einzelnen wissen als die 
Betroffenen selbst, soll das Recht auf elektronische He- 
rausgabe und Übertragbarkeit den Betroffenen ihre Da- 
tensouveränität ein Stück zurückgeben. Daher unterstütze 
ich diesen Ansatz. Allerdings ist auch hier zu untersu- 
chen, inwieweit die Regelungen in jedem Einzelfall zu 
sinnvollen Ergebnissen führen. Dabei isf zu berücksichti- 
gen, dass dem Betroffenen nicht nur die von ihm zur Ver- 
fügung gestellten Ausgangsdaten, sondern auch Auswer- 
tungen der verantwortlichen Stelle zur Verfügung zu 
stellen sind. Ob dies im Ergebnis immer sachgerecht ist, 
bedarf eingehender Erörterung (vgl. Kasten b zu 
Nr. 2.1.1). 

Die Begrenzung der Profilbildung 

Die Zusammenführung und Verknüpfung personenbezo- 
gener Daten zu Profilen gefährdet das Persönlichkeits- 
recht in besonderem Maße. Durch Profile kann die Per- 
sönlichkeit eines Menschen, insbesondere sein Verhalten, 
seine Interessen und Gewohnheiten ermittelt, analysiert 
und prognostiziert werden. Oft erfolgt die Profilbildung 
ohne Kenntnis des Betroffenen. Dies trägt zu dem unter- 
schwelligen Gefühl bei, permanent analysiert zu werden. 
Individuelle Datenprofile tragen wesentlich zum „gläser- 
nen Bürger“ bzw. „gläsernen Kunden“ bei. Sie haben in- 
zwischen in viele Lebensbereiche Einzug gehalten, etwa 
als Konsumentenprofil, Bewegungsprofil, Nutzerprofil 
oder Sozialprofil. Auch wenn Profile schon in der Off- 
linewelt gebildet wurden, werden sie erst in der Onlinewelt 
mit ihrer umfassenden Verfügbarkeit und Verknüpfbarkeit 
der Daten und der Durchdringung des Alltagslebens mit 
technischen Geräten zu einer der größten Gefahren für 
das Recht auf informationeile Selbstbestimmung. 

Deshalb sehe ich es positiv, dass der Verordnungsentwurf 
in Artikel 20 eine eigene Vorschrift zur Profilbildung ent- 
hält. Allerdings geht dieser Ansatz nicht weit genug, denn 
er setzt erst bei der Verwendung bereits entstandener Da- 
ten an, für die dann besfimmfe Verarbeitungsverbote defi- 
niert werden. Eine wirksame Regelung der Profilbildung 
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darf nicht erst bei der Nutzung, sondern muss bereits bei 
der Entstehung von Persönlichkeitsprofilen ansetzen. 
Auch lassen sich die Gefahren der Profilbildung nicht 
allein durch rechtliche Verbote bewältigen. Vielmehr 
bedarf es technologischer Ansätze, wie zum Beispiel 
wirksamen und rücknahmefesten Anonymisierungs- oder 
Verschlüsselungsmechanismen, die die Gefahren für die 
Persönlichkeitsrechte begrenzen. Umgekehrt könnte die 
Profilbildung unter Verwendung von Pseudonymen bei 
gleichzeitigem Verbot der Herstellung des unmittelbaren 
Personenbezugs privilegiert werden. Das deutsche Tele- 
mediengesetz enthält hier Ansätze, die auch auf eine 
europäische Regelung übertragen werden könnten. 

Stärkung des technologischen Datenschutzes 

Die Informationsverarbeitung und mit ihr auch der Daten- 
schutz unterliegen einer ungeheuren technologisch be- 
dingten Veränderungsdynamik. Ich hoffe deshalb, dass 
die Reform des europäischen Datenschutzrechts zu einer 
viel stärkeren Verankerung des technologischen Daten- 
schutzes führt. 

Der Entwurf der Datenschutz-Grundverordnung enthält 
in dieser Beziehung zahlreiche positive Ansätze, den 
technologischen Datenschutz auf europäischer Ebene zu 
stärken. Im Vergleich zur geltenden Richtlinie nimmt der 
technologische Datenschutz einen sehr viel breiteren 
Raum ein. Die Kommission hat offenbar die Notwendig- 
keit erkannt, in diesem Bereich auch auf der normativen 
Ebene deutlich mehr zu tun. An einigen Stellen sehe ich 
jedoch noch Verbesserungsbedarf: 

Ein zeitgemäßer und zukunftsfähiger Datenschutz um- 
fasst technisch-organisatorische Maßnahmen, die Daten- 
schutz und Datensicherheit angemessen berücksichtigen. 
Dies ist eine der zentralen Forderungen aus dem Eck- 
punktepapier „Ein modernes Datenschutzrecht für das 
21. Jahrhundert“ der Konferenz der Datenschutzbeauf- 
tragten des Bundes und der Länder aus dem Jahre 2010 
(vgl. 23. TB Nr. 1.2). 

Im Verordnungsentwurf sind verschiedene Grundsätze 
und Vorgaben enthalten, die den technologischen Daten- 
schutz auf breiter Ebene vorantreiben können. Insbeson- 
dere Kapitel IV befasst sich zu einem großen Teil mit die- 
sen Fragen. Dazu gehören unter Anderem 

- die Verpflichtung zu „Privacy by Design“, also zur 
Berücksichtigung von Datenschutzanforderungen be- 
reits bei der Systemkonzeption, 

- die Forderung nach „Privacy by Default“, d. h. nach 
datenschutzgerechten Grundeinstellungen etwa bei so- 
zialen Netzwerken, 

- die Verpflichtung zur Einhaltung technisch-organisa- 
torischer Grundsätze der IT- Sicherheit zum Schutz 
personenbezogener Daten, 

- die ebenfalls obligatorische Verpflichtung zur Durch- 
führung einer Datenschutz-Folgenabschätzung oder 


- der wiederholte Hinweis auf die Notwendigkeit zur 
Durchführung technisch-organisatorischer Maßnah- 
men. 

Leider sind die diversen Aspekte der Datensicherheit und 
technologischen Anforderungen über eine Vielzahl einzel- 
ner Regelungen verstreut, ohne dass die hohe Bedeutung 
des technologischen Datenschutzes an zentraler Stelle der 
Verordnung verdeutlicht wird, ln einer solchen technischen 
„Zentralnorm“ sollten die elementaren Datenschutzschutz- 
ziele Verfügbarkeit, Integrität, Vertraulichkeit, Transpa- 
renz, Nichtverkettbarkeit und Intervenierbarkeit als Ziel- 
vorgaben für technisch-organisatorische Maßnahmen in 
die in der Datenschutz-Grundverordnung verankerten 
Grundsätze des Datenschutzes aufgenommen werden. 
Diese Schutzziele sind bereits jetzt als Grundlage für die 
Durchführung fechnisch-organisaforischer Maßnahmen so- 
wohl auf europäischer Ebene (vgl. WP 196 der Artikel-29- 
Gruppe zum Thema „Cloud Computing“, Nr. 5.3) als 
auch auf nationaler Ebene (vgl. Konferenz der Daten- 
schutzbeauftragten des Bundes und der Länder [Hrsg.], 
Ein modernes Datenschutzrecht für das 21. Jahrhundert, 
2010, Kapitel 3, www.datenschutz.bund.de, 23. TB An- 
lage 6) anerkannt. 

Der Verordnungsentwurf enthält viele begrüßenswerte 
technikneutrale Gestaltungsansätze. Hierfür nur zwei 
Beispiele: 

Die Grundsäfze von „Privacy by Design“ und „Privacy by 
Default“ in Artikel 23 des Verordnungsentwurfs berück- 
sichtigen bereits die im deutschen Datenschutzrecht be- 
kannten Grundsätze der Datenvermeidung und Daten- 
sparsamkeit als Kemgedanken und gestalten diese weiter 
aus. Damit sollen etwaige Datenschutzprobleme bereits 
bei der Entwicklung neuer Technologien festgestellt wer- 
den, um den Datenschutz von vomeherein in die Gesamt- 
konzeption einzubeziehen - im Nachhinein können sys- 
temimmanente Datenschutzprobleme - wenn überhaupt - 
vielfach nur mühsam und mit viel Zeit- und Kostenauf- 
wand behoben werden. 

Das Instrument der Datenschutz-Folgenabschätzung (Pri- 
vacy Impact Assessment - PIA) ist ein weiterer Baustein 
zur Implementierung datenschutzgerechter IT-Prozesse. 
Nicht erst durch den Artikel 33 des Entwurfs der Daten- 
schutz-Grundverordnung, sondern auch durch die von der 
Europäischen Kommission vorangetriebene Entwicklung 
von PlAs für RFID-Sysfeme (vgl. 23. TB Nr. 5.9, 
WP 180 der Artikel-29-Gruppe) oder für Smart-Grid-/ 
Smart-Metering- Systeme (vgl. Nr. 10.1) werden Daten- 
schutz-Folgenabschätzungen eine zunehmend wichtigere 
Rolle einnehmen. Bislang handelt es sich dabei aber ganz 
überwiegend um freiwillige und unverbindliche Vorga- 
ben. Ich begrüße es daher, dass die Durchführung solcher 
Folgenabschätzungen nunmehr in bestimmten Fällen ver- 
bindlich vorgeschrieben werden soll. Die Ergebnisse ei- 
ner Datenschutz-Folgenabschätzung sollten nicht nur für 
Hersteller und Anwender, sondern auch für die Betroffe- 
nen transparent sein. Nur so kann nachvollzogen werden, 
welche Risiken bei welchen Datenverarbeitungsprozes- 
sen bestehen. Neben einer Dokumentationspfiicht sollten 
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die Ergebnisse obligatorisch einem regelmäßigen Moni- 
toring unterzogen werden. 

Angesichts der zunehmenden Bedeutung der Anonymi- 
sierung und Pseudonymisierung als Mittel zur daten- 
schutzfreundlichen Gestaltung von IT-Systemen und IT- 
Prozessen sowie zum Schutz der Privatsphäre bei der 
Nutzung von Intemetdiensten sollten diese Mechanismen 
explizit an zentraler Stelle in den Rechtsakten verankert 
werden. 

Europaweiter Mindeststandard im Datenschutz 
für Beschäftigte 

Auch im Beschäftigtendatenschutz verfolgt die Europäi- 
sche Kommission das Ziel eines hohen gemeinsamen Da- 
tenschutzniveaus in der EU. Das ist erfreulich. Ebenso 
wie in der nationalen Debatte (vgl. Nr. 13.1) findet der 
Beschäftigtendatenschutz aber auch in der Datenschutz- 
Grundverordnung nur wenig Platz, sodass weitreichender 
Verbesserungsbedarf besteht, um den großen Herausfor- 
derungen hinreichend Rechnung zu tragen. 

So soll insbesondere zwar Artikel 82 der Datenschutz- 
Grundverordnung den Mitgliedstaaten die Befugnis eröff- 
nen, eigene Regelungen im Bereich des Beschäftigtenda- 
tenschutzes zu treffen - daher auch die in diesem Bereich 
geringe Regelungstiefe des Verordnungsentwurfs - dies 
allerdings nur „in den Grenzen dieser Verordnung“. 

Diese Einschränkung wirft einige Fragen auf, denn jede 
spezifische Regelung des nationalen Rechts stellt für sich 
genommen eine Abweichung von den Vorgaben der Ver- 
ordnung dar. Insofern kann die Bezugnahme auf die 
„Grenzen dieser Verordnung“ sinnvoll nur so interpretiert 
werden, dass das nationale Recht der Terminologie und 
den Grundsätzen der Verordnung entsprechen muss und 
insgesamt nicht vom Schutzniveau der Verordnung ab- 
weichen darf 

Um tatsächlich einen qualifizierten Mindeststandard zu 
setzen und somit einen veritablen Mehrwert für den Da- 
tenschutz im Beschäftigungsverhältnis zu bringen, sollten 
die elementaren Anforderungen des Beschäftigtendaten- 
schutzes eine Regelung in der Verordnung selbst erfah- 
ren. Hierbei ist angesichts der Bedeutung und Sensibilität 
der Beschäftigtendaten ein hohes Schutzniveau zu ge- 
währleisten. Allerdings ist nicht zu übersehen, dass eine 
vollständige europaweite Harmonisierung der spezifi- 
schen Anforderungen an den Beschäftigtendatenschutz 
auf hohem Niveau nur schwer durchsetzbar sein wird. So 
hat die Europäische Kommission ein vor mehr als zehn 
Jahren begonnenes Vorhaben zu einem spezifischen 
Rechtsakt für den Beschäffigtendatenschufz bereifs vor 
längerer Zeit mangels Erfolgsaussichten aufgegeben. 

Erforderlich ist daher eine ausdrückliche Klarstellung im 
Verordnungstext, dass die Verordnung im Bereich Be- 
schäftigtendatenschutz nur einen Mindeststandard setzt, 
es den Mitgliedstaaten aber unbenommen bleibt, im Inte- 
resse des Datenschutzes weitergehende Anforderungen 
zu normieren, damit es jedenfalls nicht zu einer Absen- 
kung des in den Mitgliedstaaten bereits erreichten Schutz- 


niveaus kommt. Diese Forderung findet sich auch in der 
Stellungnahme der Konferenz der Datenschutzbeauftrag- 
ten des Bundes und der Länder vom 11. Juni 2012 zur 
Datenschutz-Grundverordnung und wurde erneut bekräf- 
tigt in der Entschließung der 84. Konferenz am 1 . 1 %. No- 
vember 2012 (vgl. Kasten b zu Nr. 2.1). 

Erfreulich ist, dass die Datenschutz-Grundverordnung die 
Einwilligung als Rechtsgrundlage bei Vorliegen eines we- 
sentlichen Ungleichgewichts zwischen dem Betroffenen 
und der verantwortlichen Stelle ausschließt. Damit kon- 
kretisiert der Verordnungsentwurf die bereits in der 
RL 95/46/EG und im BDSG enthaltene Anforderung der 
Freiwilligkeit als Voraussetzung für die Wirksamkeit da- 
tenschutzrechtlicher Einwilligungen. 

Große praktische Auswirkungen würden sich daraus erge- 
ben, dass eine mitgliedstaatliche Regelung der Verarbei- 
tung personenbezogener Arbeitnehmerdaten nur durch 
Gesetz vorgesehen ist. Kollektivvereinbarungen (Betriebs- 
vereinbarungen, Dienstvereinbarungen und Tarifverträge) 
werden dort nicht genannt. Ob man den Verordnungsent- 
wurf dennoch so auslegen kann, dass die Mitgliedstaaten 
die Ermächtigung auf die Betriebs- und Tarifparteien de- 
legieren dürfen, ist unsicher. Deshalb sollte in der Grund- 
verordnung klargestellt werden, dass auch Kollektivver- 
einbarungen ausdrücklich als Ermächtigungsgrundlage 
für die Datenverarbeitung vorgesehen werden, um das 
mithilfe dieses Regelungsinstruments erreichte Daten- 
schutzniveau für die Beschäftigten abzusichem. 

Problematisch ist, dass die Europäische Kommission 
nach dem Verordnungsentwurf auch für den Beschäftig- 
tendatenschufz ermächtigt werden soll, delegierte Rechts- 
akte zu erlassen. Der Kommission werden damit ähnliche 
Kompetenzen wie den Mitgliedstaaten zur Konkretisie- 
rung der Verordnung eingeräumt, so dass das Risiko einer 
unübersichtlichen Rechtslage besteht, wenn nationales 
Recht und delegierte Rechtsakte widersprüchliche Vorga- 
ben enthalten sollten. 

Betriebliche und behördliche Datenschutzbeauftragte - 
ein Erfolgsmodell des deutschen Datenschutzrechts 
wird europäisch 

Zwiespältig ist die in der Grundverordnung vorgesehene 
Regelung zum behördlichen Datenschutzbeauftragten. Zu 
begrüßen ist zwar, dass Artikel 35 des Verordnungsent- 
wurfs die obligatorische Benennung betrieblicher bzw. 
behördlicher Datenschutzbeauftragter vorsieht. Das ist 
aus europäischer Sicht ein Fortschritt, denn die geltende 
Datenschutzrichtlinie sieht die Benennung interner Da- 
tenschutzbeauftragter nur als Option für den nationalen 
Gesetzgeber (als Alternative zu umfassenden Melde- 
pflichten gegenüber den Datenschutzaufsichtsbehörden) 
vor. 

Mit der europaweiten Einführung betrieblicher und be- 
hördlicher Datenschutzbeauftragter sollen die bestehen- 
den Meldepflichten für automatisierte Datenverarbeitun- 
gen an die Aufsichtsbehörden entfallen. Zu Recht - denn 
sie haben sich in der Praxis häufig als bürokratischer Auf- 
wand ohne datenschutzrechtlichen Mehrwert erwiesen. 
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Mit deren Abschaffung macht die Kommission unver- 
kennbar Anleihen bei der deutschen Regelung, nach der 
Meldepflichten nur in sehr eingeschränktem Umfang be- 
stehen. 

Da die neue Verpflichtung aber nur für Unternehmen mit 
mindestens 250 Mitarbeitern gelten soll, bleibt sie hinter 
der bewährten deutschen Regelung weit zurück. Danach 
sind öffentliche Stellen des Bundes generell zur Bestel- 
lung eines Datenschutzbeauftragten verpflichtet und für 
nicht-öffentliche Stellen gilt eine Benennungspflicht 
ab 20 mit der manuellen bzw. ab 10 mit der automatisier- 
ten Datenverarbeitung ständig beschäftigten Personen. 

Während die Einführung betrieblicher und behördlicher 
Datenschutzbeauftragter aus europäischer Sicht also an 
sich als Fortschritt anzusehen ist, bleiben die vorgeschla- 
genen Regelungen hinter den Anforderungen zurück. Nur 
noch ca. 0,3 Prozent der deutschen Unternehmen müssten 
nach der neuen EU-Regelung einen Datenschutzbeauf- 
tragten benennen. Der sachfremde Schwellenwert von 
250 Mitarbeitern verstellt zudem den Blick auf risiko- 
geneigte Datenverarbeitungen, bietet Umgehungs- 
möglichkeiten und könnte in der Konsequenz zu einer 
weitgehenden Abschaffung des betrieblichen Daten- 
schutzbeauftragten führen. 

Der Schwellenwert von 250 Beschäftigten ist nicht nur 
viel zu hoch angesetzt. Die Mitarbeiterzahl ist auch als 
Anknüpfungspunkt ungeeignet, weil die Notwendigkeit 
einer internen Datenschutzkontrolle nicht von der Größe 
des Unternehmens, sondern vom Umfang der Datenverar- 
beitung und deren Risikopotential abhängt. Zu Recht 
haben Unternehmen, deren Datenverarbeitung einer Vor- 
abkontrolle unterliegt oder die, wie etwa Adressmakler 
oder Wirtschaftsauskunfteien, personenbezogene Daten 
geschäftsmäßig übermitteln, nach deutschem Recht unab- 
hängig von ihrer Größe einen Datenschutzbeauftragten zu 
bestellen. 

Leider fehlen in der Datenschutz-Grundverordnung auch 
wichtige Instrumente, die die Unabhängigkeit des Da- 
tenschutzbeauftragten absichem. Dazu zählen die 
Verschwiegenheitspflicht und das Zeugnisverweigemngs- 
recht des Datenschutzbeauftragten, das Benachteiligungs- 
verbot und vor allem der besondere Kündigungsschutz. 
Es ist zudem ein Unterschied, ob der Datenschutzbeauf- 
tragte der Unternehmensleitung organisatorisch unmittel- 
bar unterstellt ist (so im BDSG) oder ob er, wie vorge- 
schlagen, lediglich ein unmittelbares Vörspracherecht hat. 

Ich werde mich weiterhin dafür einsefzen, dass diese 
wichtigen Aspekte in die Reform des europäischen 
Rechtsrahmens einfließen und die Position des Daten- 
schutzbeauftragten europaweit gestärkt wird. 

Selbstregulierung als Instrument für besseren 
Datenschutz 

Schon die Europäische Datenschutzrichtlinie von 1995 
sieht die Einführung von Selbsfregulierungsmechanismen 
zur Förderung des Datenschutzes vor. Diese Vorgabe 
wurde 2001 in deutsches Recht umgesetzt. Allerdings 


führt dieses wichtige Instrument jedenfalls in Deutsch- 
land seitdem ein Schattendasein (vgl. dazu Nr. 3.4). 

Der Entwurf der Datenschutz-Grundverordnung schreibt 
die bestehende europarechtliche Vorgabe fort und sieht 
weiterhin die Möglichkeit der Schaffung von Verhaltens- 
regeln auf nationaler und europäischer Ebene vor. 

Die Vorschläge der Kommission sind allerdings recht all- 
gemein gehalten und bedürfen der Präzisierung. Selbstre- 
gulierung kann nur dann erfolgreich sein, wenn folgende 
Voraussetzungen erfüllt sind: 

- Verhaltensregeln dürfen die materiellen Vorschriften 
für bestimmte Sektoren konkretisieren und ergänzen, 
dürfen diese aber weder ersetzen noch neue Datenver- 
arbeitungsbefugnisse schaffen. 

- Es muss klare rechtliche Vorgaben geben, was Gegen- 
stand von Verhaltensregeln sein kann (regulierte 
Selbstregulierung). 

- Das Verfahren zur Anerkennung von Verhaltensregeln 
muss klar geregelt sein. Sie muss durch unabhängige 
vertrauenswürdige Instanzen vorgenommen werden. 

- Verhaltensregeln müssen durchgesetzt werden kön- 
nen; Rechte der Aufsichtsbehörden dürfen nicht be- 
schnitten werden. 

- Verhaltensregeln müssen den Unternehmen Vorteile 
bieten, sonst werden sie nicht akzeptiert. Hauptvorteil 
ist eine höhere Rechtssicherheit und eine Bindung der 
Aufsichtsbehörden an die von ihnen selbst anerkann- 
ten Verhaltensregeln. 

Einige der Voraussetzungen sind durch die Vorschläge 
der Kommission bereits erfüllt, bei anderen muss noch 
nachgebessert werden. Auf Ressortebene werden dazu 
vielversprechende Vorschläge diskutiert, die in die Ver- 
handlungen im Rat eingebracht werden könnten. 

Europäisches Datenschutzrecht muss europaweit 
einheitlich durchgesetzt werden 

Die Globalisierung des Datenschutzes als Folge der zu- 
nehmend grenzüberschreitenden Verarbeitung personen- 
bezogener Daten vor allem über das Internet durch Unter- 
nehmen aber auch Behörden erfordert ein gemeinsames 
Vorgehen der Datenschutzbehörden. Die geltende EU- 
Datenschutzrichtlinie 95/46/EG hat zwar zu einer Harmo- 
nisierung zentraler datenschutzrechtlicher Grundsätze in- 
nerhalb der EU geführt. Sie hat aber nicht in hinreichen- 
dem Maß zu einer einheitlichen Rechtsanwendung in der 
Praxis der weiterhin national organisierten Datenschutz- 
aufsicht geführt. 

Die Europäische Kommission hat diesen Umstand aufge- 
griffen und schlägt mit dem so genannten „One-Stop- 
Shop“ (Artikel 51 Absatz 2 des Verordnungsentwurfs) 
und dem Kohärenzverfahren (Artikel 58 ff. des Verord- 
nungsentwurfs) Mechanismen vor, die zu einer einheit- 
lichen Datenschutzpraxis in der EU in Fällen beitragen 
sollen, in denen ein Verantwortlicher in mehreren Mit- 
gliedstaaten niedergelassen ist oder in denen Personen in 
mehreren Mitgliedstaaten von denselben Verarbeitungs- 
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Vorgängen betroffen sind. Eine solche stärkere Harmoni- 
sierung der Datenschutzpraxis durch eine intensivere Zu- 
sammenarbeit der Aufsichtsbehörden halte ich für 
erforderlich. Ein Mehrwert könnte dabei von einem Ko- 
operationsverfahren ausgehen, das - anders als es die 
Europäische Kommission mit dem „One-Stop-Shop“ be- 
absichtigt - nicht als EU-weite Zuständigkeit einer Da- 
tenschutzbehörde, sondern als „Federführung“ verstan- 
den wird in Fällen, die mehrere Mitgliedstaaten betreffen. 
Zudem muss der mit dem Verordnungsvorschlag neu ge- 
schaffene EU-Datenschutzausschuss in strittigen Fällen 
und in Fällen von grundlegender Bedeutung für den EU- 
Datenschutz verbindlich zur einer einheitlichen Ausle- 
gung und Anwendung des EU-Rechts beitragen können. 

Bei aller Notwendigkeit einer stärkeren Harmonisierung 
der Aufsichtspraxis darf die durch Artikel 8 der EU- 
Grundrechte-Charta und Artikel 16 des Vertrages über die 
Arbeitsweise der EU (AEUV) gewährleistete Unabhän- 
gigkeit der Datenschutzbehörden nicht aus dem Blick ge- 
raten. Mit dieser Unabhängigkeit unvereinbar ist vor 
allem die in dem Verordnungsentwurf vorgesehene 
Befugnis der Europäischen Kommission, einzelfallbe- 
hördliche Maßnahmen auszusetzen und Durchführungs- 
rechtsakte zur „ordnungsgemäßen Anwendung“ der Ver- 
ordnung im Hinblick auf Fälle zu erlassen, die im 
Kohärenzverfahren beraten werden. Die Rechtsanwen- 
dung muss schon den Aufsichtsbehörden selbst Vorbehal- 
ten bleiben, soll der Unabhängigkeitsgrundsatz nicht ad 
absurdum geführt werden. 

Kasten a zu Nr. 2.1.1 


Stichwort: Recht auf Vergessenwerden 

Jeder kennt die Situation: Man hat vor vielen Jahren 
personenbezogene Daten im Internet veröffentlicht, mit 
denen man inzwischen nicht mehr gern in Verbindung 
gebracht werden will. Oder schlimmer - ein Dritter hat 
nicht zutreffende Daten im Internet veröffentlicht. Mit 
Hilfe von Suchmaschinen sind solche Daten auf Dauer 
recherchierbar. Deshalb kam der verständliche Wunsch 
auf, es möge einen Rechtsanspruch und die technischen 
Mittel geben, diese Daten einfach zu beseitigen. Im 
Kern geht es bei dem Recht auf Vergessenwerden also 
darum, im Zeitalter des Internets Ansprüche auf Lö- 
schung personenbezogener Daten zu gewährleisten. Die 
radikale Lösung - einen „digitalen Radiergummi“, mit 
dem flächendeckend im Internet veröffentlichte Daten 
gelöscht werden könnten - wird es auf absehbare Zeit 
nicht geben: Daten können beliebig oft vervielfältigt 
und weltweit weiterverbreitet werden. Deshalb be- 
schränkt sich der Entwurf der Datenschutz-Grundver- 
ordnung auch darauf, den schon nach geltendem Recht 
bestehenden Anspruch auf Löschung personenbezoge- 
ner Daten maßvoll zu erweitern: Die für die Datenverar- 
beitung verantwortlichen Stellen sollen sich nach ihren 
Möglichkeiten auch um die Löschung der personenbe- 
zogenen Daten bei denjenigen kümmern, denen sie die 
Daten übermittelt haben. 


Kasten b zu Nr. 2.1.1 


Stichwort: Recht auf Datenühertragharkeit 

Fast jeder hat wohl schon einmal seinen Anbieter für so- 
ziale Netzwerke, Mobilfunkplattformen oder Intemet- 
dienste gewechselt und dabei seine Daten auf den neuen 
Anbieter oder die neue Plattform übertragen wollen. So 
einfach sich der Wechsel vollziehen lässt, so mühsam ist 
es oft genug, seine Daten „mitzunehmen“ und auf den 
neuen Anbieter, die neue Plattform zu übertragen. Ent- 
weder kann man die Daten schon nicht aus dem System 
des bisherigen Anbieters auf einfache Weise „herauszie- 
hen“ oder die verwendeten Datenformate sind so unter- 
schiedlich, dass sie nicht in das System des neuen 
Anbieters übernommen werden können. Hier soll das 
Recht auf Datenübertragbarkeit Abhilfe schaffen. Der 
Einzelne soll einen Anspruch darauf erhalten, seine Da- 
ten in einem gängigen Format zu bekommen und dieses 
auch auf einen anderen Anbieter übertragen zu können. 
Was für das Mitnehmen der Telefonnummer seit vielen 
Jahren selbstverständlich ist, soll damit auch für Web- 
2.0-Dienste möglich sein. 


2.1 .2 Ein mühsamer Weg - Der Entwurf für 
eine neue Richtiinie im Bereich von 
Poiizei und Justiz 

Zusammen mit dem Entwurf für eine Datenschutz-Grund- 
verordnung hat die Europäische Kommission auch einen 
Vorschlag für eine Richtlinie im Bereich von Polizei und 
Justiz vorgelegt. Dieser geht in die richtige Richtung, be- 
darf aber noch Verbesserungen. Entscheidend ist dabei 
die Klarstellung, dass die Richtlinie nur Mindeststan- 
dards für den nationalen Gesetzgeber setzt. 

Der Entwurf einer Richtlinie für den Datenschutz im Be- 
reich von Polizei und Justiz soll zusammen mit der paral- 
lel vorgelegten Datenschutz-Grundverordnung den Da- 
tenschutz nach Inkrafttreten des Vertrages von Lissabon 
in allen Bereichen rundum erneuern. Dieses Ziel habe ich 
von Anfang an unterstützt. 

Der konkrete Richtlinienvorschlag hat bei mir allerdings ge- 
mischte Gefühle hervorgerufen. Mein Anliegen war und ist 
es, dass in der gesamten Europäischen Union ein möglichst 
hoher Datenschutzstandard sichergestellt ist. Dies gilt in be- 
sonderem Maße im Bereich von Polizei und Justiz, und 
zwar bei allen polizeilichen Datenverarbeitungen, unabhän- 
gig davon, ob diese grenzüberschreitend sind oder nicht. 
Der geltende Rahmenbeschluss 2008/977/Jl (vgl. 22. TB 
Nr. 13.3.1) macht diese Unterscheidung und ist durch seine 
auf grenzüberschreitende Datenverarbeitungen begrenzte 
Anwendbarkeit gerade nicht geeignet, dieses wesentliche 
Ziel zu verwirklichen. Deswegen ist die Reform des gel- 
tenden europäischen Datenschutzrechts im Bereich von 
Polizei und Justiz weiterhin erforderlich und wird von mir 
unterstützt. 

Gleichzeitig sehe ich in dem Entwurf der Kommission 
aber einige problematische Punkte. Wesentlich ist dabei 
die Unsicherheit, welches Maß an Harmonisierung mit 
der Richtlinie erreicht werden soll. Insbesondere die 
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Rechtsprechung des Bundesverfassungsgerichts hat in 
den letzten 30 Jahren dafür gesorgt, gerade im polizei- 
lichen Bereich ein hohes Datenschutzniveau in Deutsch- 
land zu etablieren. Ich denke dabei an die Recht- 
sprechung zum Schutz des Kembereichs privater 
Lebensgestaltung, zur Vorratsdatenspeicherung, zur Ras- 
terfahndung oder zur Kennzeichnungspflicht von Daten, 
die bei der Telekommunikationsüberwachung erhoben 
worden sind. Entsprechende Bestimmungen fehlen im 
Entwurf der Kommission. Was würde mit diesen grundle- 
genden Regeln des deutschen Datenschutzrechts nach In- 
krafttreten der Richtlinie geschehen? Ich bin mir darüber 
im Klaren: Wer sich entscheidet, Souveränität zugunsten 
der Europäischen Union abzugeben, der kann nicht er- 
warten, dass immer alles nach seinen Vorstellungen 
geschieht. Anders als bei der Datenverarbeitung zu wirt- 
schaftlichen Zwecken sehe ich allerdings keine Not- 
wendigkeit, nationales Recht zu „deckeln“ und die damit 
regelmäßig einhergehenden rechtlichen Auseinanderset- 
zungen zu riskieren. Deshalb sollte die Richtlinie klarstel- 
len, dass die Mitgliedstaaten in nationalen Regelungen 
ein höheres Datenschutzniveau vorsehen können, als die 
Richtlinie vorgibt. So würde ein robustes Datenschutz- 
mindestniveau in der gesamten Europäischen Union fest- 
gelegt. Gleichzeitig wäre kein Mitgliedstaat in der 
Möglichkeit beschränkt, neues fortschrittlicheres Daten- 
schutzrecht zu schaffen. Und dem Bundesverfassungsge- 
richt käme weiterhin eine wichtige Rolle zu, gemeinsam 
mit dem Europäischen Gerichtshof die datenschutzrecht- 
liche Rechtsprechung fortzuentwickeln. 

Ich werde mich weiterhin dafür stark machen, den Richt- 
linienentwurf zu verbessern. Die Grundsätze für die Da- 
tenverarbeitung durch Polizei und Justiz sollten an die 
Grundverordnung angeglichen werden. Nationale Verar- 
beitungsbeschränkungen sollten weitergegeben, die unbe- 
scholtenen Bürger besser gegen eine polizeiliche Erfas- 
sung geschützt, die Möglichkeiten zur Übermittlung in 
unsichere Drittstaaten beschränkt, effiziente Datenschutz- 
aufsicht sichergestellt werden. Diese Aufzählung umfasst 
nur einen Teil der Aufgaben, die alle Beteiligten des Ge- 
setzesvorhabens noch vor sich haben. 

Das Schicksal des Richtlinienentwurfs ist offen. Insbe- 
sondere der Rat hat eine sehr kritische Haltung eingenom- 
men. Ich setze mich dafür ein, den Datenschutz in Europa 
insgesamt zu stärken, ohne bestehende Rechtsgarantien 
einzelner Mitgliedstaaten dabei zu schwächen. Die Ein- 
führung europaweiter Mindeststandards gerade in diesem 
besonders grundrechtsrelevanten Bereich kann hierfür 
den Weg ebnen. 

2.2 Mehr Raum für Sicherheit? 

Die grenzüberschreitende Zusammenarbeit der Sicher- 
heitsbehörden wurde im Berichtszeitraum weiter ver- 
stärkt. Diesem Ziel dienen neue rechtliche Instrumente 
und die Modernisierung der technischen Mittel für den 
grenzüberschreitenden Datenaustausch. Kritisch sehe ich 
es, dass sensible personenbezogene Daten auch ohne aus- 
reichende rechtliche und tatsächliche Garantien in Dritt- 
staaten übermittelt werden. 


2.2.1 Europäische Ermittlungsanordnung 

Eine Richtlinie zur Europäischen Ermittlungsanordnung 
in Strafsachen soll die grenzüberschreitende Strafverfol- 
gung erleichtern. Die Grundrechte der Betroffenen dür- 
fen dabei nicht ausgehebelt werden. 

Die Europäische Ermittlungsanordnung (EEA) führt zu 
einer umfangreichen Anerkennung von Ermittlungsent- 
scheidungen zwischen den Mitgliedstaaten. Ein Mitglied- 
staat muss die Entscheidung der Ermittlungsbehörden 
bzw. -gerichte eines anderen Staates vollstrecken. Der 
Entwurf spricht deshalb von Anordnungsstaat und Voll- 
streckungsstaat. Ich halte den Richtlinienentwurf für zu 
weitgehend. Es fehlen Regelungen zur Geltung hinrei- 
chender Mindeststandards, welche die Grundrechte der 
Betroffenen, also auch die Datenschutzrechte, hinrei- 
chend sichern. Die Konferenz der Datenschutzbeauftrag- 
ten des Bundes und der Länder fordert ebenfalls ein hohes 
grundrechtliches Schutzniveau (vgl. Kasten zu Nr. 2.2.1). 

Mit dem Vertrag von Lissabon (vgl. 23. TB Nr. 13.1) 
wurden die Möglichkeiten ausgeweitet, auf europäischer 
Ebene das Strafrecht und das Strafverfahrensrecht zu be- 
einflussen. Der Vertrag ermöglicht es dem europäischen 
Gesetzgeber zum einen, hier Mindeststandards zu setzen. 
Zum anderen kann er die gegenseitige Anerkennung von 
Entscheidungen der Mitgliedstaaten regeln. Auf letztere 
Möglichkeit berufen sich die Verfasser des Entwurfs der 
Richtlinie zur EEA. 

Dabei stehen die gegenseitige Anerkennung und die Min- 
deststandards in einem Abhängigkeitsverhältnis. Mit an- 
deren Worten: Nur wenn umfassende Mindeststandards 
geregelt sind, kann die gegenseitige Anerkennung ausge- 
baut werden. 

Mindeststandards im Strafverfahren fehlen jedoch noch 
in weiten Bereichen. Insbesondere mangelt es an explizi- 
ten Regelungen für die Übermittlung, Speicherung und 
Verwendung übermittelter Daten in den Mitgliedstaaten. 
Diese müssten geregelt haben, unter welchen Vorausset- 
zungen die Behörden welche Daten erheben und verwen- 
den und wie lange diese gespeichert werden dürfen. Die 
Verwendung müsste gegebenenfalls beschränkt werden, 
etwa bei Daten, die aus besonders eingriffsintensiven Er- 
mittlungsmaßnahmen stammen (z. B. Telekommunika- 
tionsüberwachung, akustische Wohnraumüberwachung). 
Die Betroffenenrechte wären festzulegen (Anhörung, 
Auskunft, Benachrichtigung, Löschung, Berichtigung). 
Insbesondere im Hinblick auf die Verwendungsbeschrän- 
kungen enthält auch der Vorschlag für eine Datenschutz- 
richtlinie für den Bereich von Polizei und Justiz keine 
ausreichenden Regeln (vgl. unter Nr. 2.1.2). 

Nach Mitteilung des Bundesministeriums der Justiz sieht 
der Richtlinienentwurf immerhin vor, dass der Vollstre- 
ckungsstaat die Maßnahme auch nach seinem eigenen 
Recht prüfen kann. Eine deutsche Behörde könnte also 
prüfen, ob die Maßnahme etwa gegen die Strafprozess- 
ordnung verstoßen würde. In diesem Fall hätte sie dann 
einen Grund, die Vollstreckung zu verweigern. 

Verweigerungsgründe sind jedoch in einigen wesentlichen 
Bereichen unzureichend, etwa bei der Übermittlung perso- 
nenbezogener Daten zwischen Mitgliedstaaten. Die Be- 
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hörde des Vollstreckungsstaates soll nach dem Entwurf 
sehr weitgehend verpflichtet sein, Daten aus ihren Daten- 
banken zu übermitteln sowie vorhandene Beweismittel zur 
Verfügung zu stellen. Wenn die Strafprozessordnung den 
Zugang beschränkt, etwa weil personenbezogene Daten 
aus einer Telekommunikationsüberwachung nur bei Straf- 
taten von besonderem Gewicht verwendet werden dürfen, 
soll diese Einschränkung nach dem Entwurf wohl wegfal- 
len. Dieser enthält jedenfalls - anders als die Strafprozess- 
ordnung - keine entsprechende Regelung. Nebulös ist die 
umfassende Verpflichtung, Ermittlungsanordnungen 
durchzuführen, „die keine Zwangsmaßnahmen sind“. 

Noch ist der Entwurf der EEA-RL nicht beschlossen. Zur- 
zeit finden weiter Verhandlungen auf politischer Ebene 
statt. Ich erkenne an, dass sich die Bundesregierung be- 
müht, rechtsstaatliche Standards dadurch zu wahren, dass, 
soweit wie möglich, das innerstaatliche Recht als Schranke 
für zwischenstaatliche Übermittlungen gelten soll. Gleich- 
wohl würde ich mir klarere Mindeststandards auf europäi- 
scher Ebene wünschen. Denn europäische Bürgerinnen 
und Bürger sollten europaweit darauf vertrauen dürfen, 
dass der Gesetzgeber ihre Grundrechte auch in den Richtli- 
nien und Verordnungen berücksichtigt und diese entspre- 
chend ausgestaltet. Eine Chance, einer zufrieden stellenden 
Lösung näher zu kommen, bietet der in der Diskussion be- 
findliche Entwurf einer EU-Richtlinie zum Datenschutz 
bei Polizei und Justiz (vgl. Nr. 2.1.1). 

Kasten zu Nr. 2.2.1 


Entschließung der 83. Konferenz der Datenschutz- 
beauftragten des Bundes und der Länder 
am 21./22. März 2012 in Potsdam 

Europäische Ermittlungsanordnung darf 
Grundrechtsgarantien nicht aushebeln 

Zurzeit wird auf europäischer Ebene der Entwurf einer 
Richtlinie über die Europäische Ermittlungsanordnung in 
Strafsachen beraten. Diese hat massive Auswirkungen 
auf den Grundrechtsschutz der Bürgerinnen und Bürger 
in den EU-Mitgliedstaaten. Sie kann dazu führen, dass 
der verfahrensrechtliche Schutzstandard bei strafprozes- 
sualen Maßnahmen europaweit auf niedrigstes Niveau 
abgesenkt wird. So kann sie etwa zur Folge haben, dass 
ein Mitgliedstaat für einen anderen Daten oder Beweis- 
mittel erhebt und diesem übermittelt, obwohl die Erhe- 
bung nach eigenem Recht nicht zulässig wäre. 

Der Richtlinienentwurf verfolgt vorrangig das Ziel einer 
weitgehenden gegenseitigen Anerkennung von Ein- 
griffsentscheidungen der Strafverfolgungsbehörden, 
ohne dass einheitliche Verfahrensgarantien geschaffen 
werden. Dies wirft Probleme auf, wenn der Anord- 
nungsstaat niedrigere Schutzstandards aufweist als der 
Vollstreckungsstaat. Die Möglichkeiten der Mitglied- 
Staaten, eine entsprechende Anordnung eines anderen 
Mitgliedstaates zurückzuweisen, sind nicht immer aus- 
reichend. Eingriffsschwellen, Zweckbindungs- und Ver- 
fahrensregelungen müssen gewährleisten, dass die Per- 
sönlichkeitsrechte der Betroffenen gewahrt werden. 


Eine effektive grenzüberschreitende Strafverfolgung im 
vereinten Europa darf nicht zu Lasten des Grundrechts- 
schutzes der Betroffenen gehen. Die Anforderungen der 
EU-Grundrechfe-Charta sind konsequent einzuhalten. 
Die Europäische Ermittlungsanordnung muss in ein 
schlüssiges Gesamtkonzept zur Datenerhebung und -Ver- 
wendung im Bereich der inneren Sicherheit und der 
Strafverfolgung eingebettet werden, das die Grund- 
rechte der Bürgerinnen und Bürger gewährleistet. 


2.2.2 Europol-Analysedateien 

Die Verarbeitung personenbezogener Daten in Analyse- 
dateien beim Europäischen Polizeiamt wurde daten- 
schutzrechtlich geprüft. 

ln früheren Tätigkeitsberichten habe ich mehrfach über 
die Aufgabe und Arbeitsweise des Europäischen Polizei- 
amtes (Europol) berichtet (vgl. zuletzt 23. TB Nr. 13.11). 

2012 hat die die Gemeinsame Kontrollinstanz (GKl) von 
Europol schwerpunktmäßig Dateien kontrolliert, die 
Europol zu Analysezwecken errichtet hat. Ihr Kontrollbe- 
richt war bei Redaktionsschluss noch nicht öffentlich zu- 
gänglich. Kontrollberichte sind - wenn sie öffentlich zu- 
gänglich gemacht werden - auf der Intemetseite der GKl 
einsehbar: http :// europolj sb.consilium. europa. eu/reports/ 
inspection-report.aspx?lang=de. Gleichwohl lässt sich 
über die Funktionsweise und die datenschutzrechtliche 
Problematik der Analysedateien einiges berichten. 

Analysedateien werden zeitlich befristet für bestimmte 
Phänomen- bzw. Deliktsbereiche (z. B. zur Bekämpfung 
der organisierten Kriminalität oder des Terrorismus) ein- 
gerichtet. ln ihnen verarbeitet Europol auch personenbe- 
zogene Daten, die aus den Europol-Mitgliedstaaten oder 
aus Drittstaaten stammen. Dadurch sollen - auch für die 
Behörden der Mitgliedstaaten - neue Erkenntnisse und 
Ermittlungsansätze gewonnen werden. 

Welche Daten unter welchen Voraussetzungen in den 
Analysedateien verarbeitet werden dürfen, ist in dem Be- 
schluss des Rates 2009/936/Jl vom 30. November 2009 
geregelt, der am 11. Dezember 2009 im Amtsblatt der 
Europäischen Union (L325 S. 14 ff.) veröffentlicht 
wurde. Verarbeitet werden danach nicht nur Daten von 
Verdächtigen, sondern auch von Kontakt- und Begleitper- 
sonen, Zeugen, Opfern und Informanten bzw. Hinweisge- 
bem. Die richtige Zuordnung eines Betroffenen zu diesen 
Personengruppen ist von maßgebender Bedeutung. 

Nach dem o. g. Beschluss sind Kontakt- und Begleitper- 
sonen solche Personen, bei denen ausreichende Gründe 
für die Annahme besfehen, dass über sie Informationen 
über (potentielle) Straftäter oder Verdächtige beschafft 
werden können, die für die Analyse relevant sind. Eine 
„Kontaktperson“ ist daher, wer mit einer dieser Personen 
sporadisch in Kontakt steht - gleichgültig warum. Bei re- 
gelmäßigem Kontakt ist man nach der Definition des Be- 
schlusses eine „Begleitperson“. 

Zu Kontakt- und Begleitpersonen in diesem Sinne dürfen 
auch sehr weitgehende - höchstpersönliche - Daten ge- 
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speichert werden, sofern Grund zu der Annahme besteht, 
dass diese Daten für die Analyse der Rolle des Betreffen- 
den als Kontakt- oder Begleitperson erforderlich sind. 
Diese genügt, um zu einer Kontakt- oder Begleitperson 
Informationen verarbeiten zu dürfen, wie z. B. 

- über deren wirtschaftliche und finanzielle Verhältnisse 
(Barvermögen, Aktien, Kontakte zu Banken und Kre- 
ditinstituten, sonstige Angaben zu ihrem Finanzgeba- 
ren etc.), 

- zu ihrem Verhalten (Lebensweise, Gewohnheiten, re- 
gelmäßig aufgesuchte Orte etc.), 

- aus anderen Datenbanken, in denen Informationen 
über die betreffende Person gespeichert sind (z. B. öf- 
fentliche und private Einrichtungen), 

- über juristische Personen, die mit bestimmten Infor- 
mationen in Zusammenhang stehen. 

Dies habe ich bereits im Vorfeld des Ratsbeschlusses kri- 
tisiert. Nach der Rechtsprechung des Bundesverfassungs- 
gerichts (BVerfG) darf die deutsche Polizei Daten zu 
Kontakt- und Begleitpersonen nur unter deutlich engeren 
Voraussetzungen erheben und verarbeiten. „Vorausgesetzt 
sind konkrete Tatsachen für einen objektiven Tatbezug 
und damit für eine Einbeziehung in den Handlungskom- 
plex der Straftatenbegehung, insbesondere eine Verwick- 
lung in den Hintergrund oder das Umfeld der Straftaten“ 
(BVerfG, 1 BvR 1104/92 vom 25. April 2001). Bereits 
mit dem Merkmal „konkrete Tatsachen“ hat das Gericht 
im Vergleich zum Ratsbeschluss, in dem lediglich die Er- 
forderlichkeit bzw. das Vorliegen ausreichender Gründe 
verlangt wird, eine deutlich höhere Eingriffsschwelle 
festgelegt. 

Die Vorgaben des Bundesverfassungsgerichts sind in 
Deutschland bindend und von der deutschen Polizei zu 
beachten. 

2.2.3 ZIS - Ein Informationssystem, das nicht 
gebraucht wird 

Die Gemeinsame Kontrollinstanz Zoll stellte fest, dass die 
Zollbehörden der Mitgliedstaaten fast keine Daten in das 
Zollinformationssystem eingeben - und legt dessen Ab- 
schaffung nahe. 

Das Zoll-Informationssystem (ZIS) steht im Schatten der 
bekannteren europäischen Informationssysteme, wie etwa 
dem Schengener Informationssystem (SIS) oder dem 
Europol-lnformationssystem (EIS, vgl. Nr. 7.6.2). ZIS ist 
ein technisch und rechtlich kompliziertes Konstrukt, das 
unterschiedlichen Zwecken dient. Es soll die europäi- 
schen Zollbehörden dabei unterstützen, schwere, zoll- 
rechtlich relevante Verstöße gegen das Recht der einzel- 
nen Mitgliedstaaten und das Recht der Europäischen 
Union zu verhindern und zu verfolgen. 

ZIS wird von den Zollbehörden der Mitgliedstaaten der 
Europäischen Union kaum oder gar nicht genutzt - die 
Zollbehörden haben nur sehr wenige Daten eingespei- 
chert. Dies ergab etwa eine Kontrolle, die die Gemein- 
same Kontrollinstanz Zoll (GKl Zoll) unter Beteiligung 
meiner Behörde bei dem Europäischen Amt für Betrugs- 


bekämpfung (OLAF) - wo die Datenbank technisch be- 
trieben wird - durchgeführt hat. Diese Erkenntnis hatte 
ich schon im Berichtszeitraum 2005/2006 (vgl. 21. TB 
Nr. 32.5) gewonnen, als ich mich beim ZKA über das ZIS 
informierte. Offenbar hat sich an der fehlenden Akzep- 
tanz der Zollfahndungsbehörden in den EU-Mitgliedstaa- 
ten nichts geändert. 

Deshalb ist es konsequent, wenn die GKl Zoll als Ergeb- 
nis ihrer Kontrolle die Abschaffung von ZIS nahe legt, 
denn es wird offensichtlich nicht gebraucht. 

Eine Reaktion der Mitgliedstaaten auf diese Empfehlung 
lässt leider auf sich warten. Offensichtlich fällt es den 
Verantwortlichen leichter, die Einrichtung neuer Dateien, 
Datenbanken und Informationssysteme zu beschließen, 
als diese bei erwiesener Nutzlosigkeit wieder abzuschaf- 
fen. Diese kostspielige Asymmetrie ließe sich vielleicht 
dadurch vermeiden, dass die Erforderlichkeit derartiger 
Systeme nicht bloß behauptet, sondern nachvollziehbar 
nachgewiesen werden muss, ehe man sie einrichtet. 

2.2.4 Eurodac 

Die Fingerabdruckdatenbank Eurodac soll zukünftig 
auch den Strafverfolgungsbehörden offen stehen. Daten- 
schützer sehen das kritisch. 

Der Vorschlag der Europäischen Kommission zur Ände- 
rung der Eurodac -Verordnung vom September 2012 will 
den Strafverfolgungsbehörden unter bestimmten Voraus- 
setzungen Zugriff auf die Eurodac-Daten ermöglichen, ln 
einem gemeinsamen Schreiben an die Europäische Kom- 
mission haben die Eurodac-Datenschutzaufsichtsgruppe 
und die Artikel-29-Gruppe der Datenschutzbeauftragten 
der Mitgliedstaaten der Europäischen Union hervorgeho- 
ben, dass die Europäische Kommission keinen Nachweis 
dafür erbracht habe, warum die gegenwärtigen Instru- 
mente der Strafverfolgungsbehörden nicht ausreichten 
und weshalb der Zugriff auf Asylbewerberdaten notwen- 
dig sei. Vor diesem Hintergrund erscheint beiden Daten- 
schutzgruppen eine Zweckänderung der in Eurodac 
gespeicherten Daten nicht gerechtfertigt. Bei Redaktions- 
schluss waren die Verhandlungen im Europäischen Rat 
und im Europäischen Parlament über den Vorschlag der 
Europäischen Kommission noch nicht abgeschlossen. 

Die gemeinsame Datenschutzaufsichtsgruppe (Eurodac 
Supervision Coordination Group) befasste sich mit zwei 
koordinierten Kontrollvorhaben. Zunächst wurde unter- 
sucht, welche Vorkehrungen Mitgliedstaaten getroffen 
haben, um die Pflicht zur vorzeitigen Löschung von Fin- 
gerabdruckdaten - z. B. wenn ein Asylbewerber inner- 
halb der Speicherdauer von bis zu zehn Jahren die Staats- 
angehörigkeit eines Mitgliedstaates erworben hat - 
umzusetzen. Bei meiner Prüfung zeigte sich, dass das 
Bundesamt für Migration und Flüchtlinge (BAMF) als 
die für den nationalen Teil des Eurodac- Systems zustän- 
dige Zentralbehörde einen entsprechenden Informations- 
austausch mit den Einbürgerungsbehörden sichergestellt 
hat. ln manchen Mitgliedstaaten wurden jedoch Defizite 
im Informationsfluss festgestellt. Den entsprechenden 
Kontrollbericht hat das beim Europäischen Datenschutz- 
beauftragten (EDPS) angesiedelte Sekretariat der gemein- 
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Samen Datenschutzaufsichtsgruppe veröffentlicht (http:// 
www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/ 
Documents/Supervision/Eurodac/ll-12-09_EURODAC_ 
Report_EN.pdf). Das zweite Kontro 11 Vorhaben, das die 
Verarbeitung unleserlicher Fingerabdrucke zum Gegen- 
stand hat, stand bei Redaktionsschluss für diesen Tätig- 
keitsbericht zwar kurz vor dem Abschluss, ein Bericht lag 
jedoch noch nicht vor. 

2.2.5 Visa-Informationssystem 

Das europäische Visa-Infonnationssystem (VIS) hat sei- 
nen Betrieb aufgenommen. 

Am 1. Oktober 2011 wurde nach mehrjähriger Planung 
und Vorbereitung mit dem europäischen Visa-Informa- 
tionssystem der Betrieb für eine neue multinationale Da- 
tenbank aufgenommen (vgl. Nr. 8.9). Das VIS verfolgt 
zwar ähnliche Zwecke wie Eurodac (u. a. Vermeidung 
von Mehrfach-Anträgen, Identitätsverifizierung, vgl. 
Nr. 2.2.4), bezieht sich aber auf einen anderen Personen- 
kreis. ln der VlS-Datenbank werden nicht nur personen- 
bezogene Daten von Visum- Antragstellern erfasst und bis 
zu fünf Jahre gespeichert, sondern auch von Personen, die 
Besuchseinladungen an visum-pflichtige Antragsteller 
richten. Neben den üblichen Angaben wie Name, Vor- 
name und Geburtsdatum werden zu den Visum-Antrag- 
steilem auch biometrische Daten (Fotos und Fingerabdrü- 
cke) gesammelt. 

Anders als bei Eurodac werden die Daten für das VIS zu- 
meist aber nicht im Inland, sondern durch Konsulate und 
Botschaften der Mitgliedstaaten im Ausland erhoben und 
über nationale „Kopfstellen“ an die zentrale VlS-Daten- 
bank in Straßburg weitergeleitet. Gegenwärtig wird das 
VIS bei den Auslandsvertretungen der Teilnehmerstaaten 
in Nordafrika, Naher Osten und im weiteren Bereich des 
Persischen Golfs genutzt (vgl. Kasten zu Nr. 2.2.5). Über 
weitere Regionen und Länder wird die Europäische Kom- 
mission entscheiden. 

Die Datenschutzaufsicht über das VIS folgt einem ähnli- 
chen Modell wie bei Eurodac: Der EDPS kontrolliert die 
zentrale VlS-Datenbank, während die Datenschutzbehör- 
den der Mitgliedstaaten die jeweiligen nationalen Kom- 
ponenten des VIS überprüfen, ln Deutschland obliegt mir 
die datenschutzrechtliche Kontrolle, weil das Auswärtige 
Amt und das Bundesverwaltungsamt für den nationalen 
Teil des VIS verantwortlich sind. Um die Arbeit und die 
Kontrollschwerpunkte in den Mitgliedstaaten aufeinander 
abzustimmen, wurde auch beim VIS eine gemeinsame 
Kontrollaufsichtsgmppe unter Vorsitz des EDPS geschaf- 
fen, in der auch ich vertreten bin. 

Kasten zu Nr. 2.2.5 


- Libyen 

- Mauretanien 

- Marokko 

- Tunesien 

Region 2: Naher Osten 

- Israel 

- Jordanien 

- Libanon 

- Syrien 

Region 3: Persischer Golf und Umgebung 

- Afghanistan 

- Bahrain 

- Iran 

- Irak 

- Kuwait 

- Oman 

- Katar 

- Saudi-Arabien 

- Vereinigte Arabische Emirate 

- Jemen 


2.3 IT goes Europe 

Über die Verarbeitung personenbezogener Daten durch 
öffentliche Stellen wird zunehmend nicht mehr auf natio- 
naler Ebene allein entschieden. Nicht nur die rechtlichen 
Rahmenbedingungen sondern auch technische Standards 
werden durch die Europäische Union vorgegeben. Außer- 
dem ist die EU, bzw. von ihr eingerichtete Agenturen, zu- 
nehmend auch selbst Betreiberin von europaweiten Groß- 
systemen. Leider klammem die Kommissionsvorschläge 
für einen neuen Rechtsrahmen für den Dafenschutz in der 
EU (vgl. Nr. 2.1) die EU-lnstitutionen und die von ihnen 
betriebenen IT-Systeme aus. Dies gilt auch für deren Da- 
tenschutz-Kontrollstrukturen. 

Für verschiedene durch europäische Agenturen betrie- 
bene Informationssysteme (Schengener Informationssys- 
tem, Europol, Eurojust, Zollinformationssystem) wurden 
eigenständige Kontrollgremien, so genannte Gemeinsame 
Kontrollinstitutionen (GKl) eingerichtet. 

Dagegen arbeiten der Europäische Datenschutzbeauf- 
tragte und die nationalen Aufsichtsstellen sowohl bei der 
Kontrolle des europäischen Fingerabdmcksystems Euro- 
dac (vgl. Nr. 2.2.4) als auch bei der Aufsicht über das neu 
eingerichtete europäische Visa-Informationssystem (VIS, 
vgl. Nr. 2.2.5) eng zusammen. Das Betriebsmanagement 
für die zentralen Datenbanken von Eurodac und VIS hat 
am 1. Dezember 2012 die im November 2011 neu ge- 


Einsatzregionen des europäischen Visa- 
Informationssystems (Ende 2012) 

Region 1: Nordafrika 

- Algerien 

- Ägypten 
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gründete Europäische Agentur für IT-Großsysteme über- 
nommen. Darüber hinaus soll diese Agentur voraussicht- 
lich ab Frühjahr 2013 auch das Management für das 
Schengener Informationssystem der zweiten Generation 
(SIS 11) übernehmen. 

Ich trete dafür ein, die verschiedenen Modelle zur daten- 
schufzrechtlichen Begleitung und Kontrolle europäischer 
IT-Systeme zu vereinheitlichen. Neben Synergieeffekten 
ließe sich so auch eine effektivere Datenschutzkontrolle 
im Sinne eines einheitlich hohen Schutzniveaus für die 
EU-Bürgerinnen und Bürger erreichen. 

2.3.1 Binnenmarktinformationssystem 

Im Dezember 2012 ist die IMI- Verordnung in Kraft getre- 
ten. Sie ermöglicht den Informationsaustausch und die 
Kommunikation zwischen den Mitgliedstaaten der Euro- 
päischen Union im Rahmen der EG-Dienstleistungsricht- 
linie. 

Das Anfang 2010 ans Netz gegangene Binnenmarktinfor- 
mationssystem (Internal Market Information System - 
IMl) ermöglicht es einer Vielzahl von Behörden der 
27 EU-Staaten, miteinander elektronisch zu kommunizie- 
ren, wenn beispielsweise Zweifel an der Echtheit der vom 
Dienstleistungserbringer vorgelegten Unterlagen beste- 
hen und deshalb bei den zuständigen Behörden in dem 
ausstellenden Mitgliedstaat Nachfragen erforderlich wer- 
den (vgl. 22. TB Nr. 3.4.1). 

Der bisher fehlende Rechtsrahmen hierfür isf nun durch 
die im Dezember 2012 in Kraft getretene europäische 
Verordnung (IMl-VO (EU) Nr. 1024/2012) geschaffen 
worden. Sie schafft Rechtssicherheit beim Umgang mit 
personenbezogenen Daten im IMl und ist eine wesentli- 
che Voraussetzung für die verbindliche Anwendung da- 
tenschutzrechtlicher Grundsätze bei der Nutzung des IML 

Ich wurde durch das Bundesministerium für Wirtschaft 
und Technologie (BMWi) über die Verhandlungen über 
den Entwurf der IMl-VO informiert und hatte Gelegen- 
heit zur Stellungnahme. Auch wenn ich nicht alle meine 
Positionen durchsetzen konnte, ist es doch gelungen, in 
der zuständigen Ratsarbeitsgruppe tragfähige Kompro- 
misse zu erzielen. 

Ich werde die Anwendung der IMl-VO weiterhin beglei- 
ten und - gemeinsam mit den Datenschutzbeauftragten 
der Länder - auf die Einhaltung der Datenschutzvor- 
schriften achten. Die IMl-VO sieht eine unabhängige 
Überwachung der Rechtmäßigkeit der Verarbeitung per- 
sonenbezogener Daten durch die IMl-Akteure ihres Mit- 
gliedstaates und die Gewährleistung des Schutzes der 
Rechte der betroffenen Personen durch die nationalen Da- 
tenschutzbehörden vor. Weiterhin kann auch der Europäi- 
sche Datenschutzbeauftragte bei Bedarf die nationalen 
Kontrollstellen zu Zusammenkünften einladen, um die 
Überwachung des IMl und seiner Nutzung durch die IMl- 
Akteure zu gewährleisten. 


2.3.2 epSOS: Wie sind Gesundheitsdaten bei 
der grenzüberschreitenden Übermittiung 
zu schützen? 

Die Artikel-29-Gruppe hat datenschutzrechtliche Emp- 
fehlungen für die Umsetzung eines europäischen Pilot- 
projektes für die grenzüberschreitende Übermittlung von 
Gesundheitsdaten verabschiedet. 

Gesundheitsdaten geben nicht nur Aufschluss über den 
individuellen Gesundheitszustand, Medikamentenbedarf 
sowie die notwendigen ärztlichen Behandlungen - sie er- 
möglichen auch weitreichende Prognosen über die zu- 
künftige gesundheitliche Entwicklung und sind von gro- 
ßem wirtschaftlichem Wert. Deshalb stehen sie im Fokus 
des Interesses verschiedenster Akteure aus Wirtschaft, 
Gesundheitswesen und Verwaltung. Sie unterliegen der 
ärztlichen Schweigepflicht und - wenn sie von Sozialleis- 
tungsträgem für Aufgaben nach dem Sozialgesetzbuch 
verwendet werden - dem besonderen Schutz des Sozial- 
gesetzbuchs. Auch das BDSG und das europäische Da- 
tenschutzrecht stufen sie als besonders schutzwürdig ein. 

Gesundheitsdaten spielen auch im internationalen Kon- 
text eine Rolle. epSOS (Smart Open Services for Euro- 
pean Patients - Open eHealth Initiative for a European 
Large Scale Pilot of Patient Summary and Electronic 
Prescription) ist ein von der EU gefördertes Projekt, in 
dessen Rahmen europäischen Bürgerinnen und Bürgern 
grenzüberschreitende E-Health-Dienste angeboten wer- 
den sollen. Im Mittelpunkt steht die Entwicklung einer 
europaweiten Infrastmktur, die den Zugriff auf Gesund- 
heitsdaten über Ländergrenzen hinweg ermöglicht, um 
die Versorgung von Patienten zu verbessern, die sich im 
europäischen Ausland aufhalten. 

Wesentliche Anwendungsfälle der epSOS-lnfrastmktur 
sind der grenzüberschreitende Zugriff auf eine elektroni- 
sche medizinische Kurzakte (patient summary) und eine 
elektronische Verordnung (e -prescription). Die in einem 
Mitgliedstaat des Patienten geführte medizinische Kurz- 
akte soll Angaben zu Erkrankungen, relevanten Eingrif- 
fen und Unverträglichkeiten enthalten, ähnlich einer elek- 
tronischen Patientenakte. Die elektronische Verordnung 
soll die Ausstellung von Rezepten am Ort der Behand- 
lung im europäischen Ausland ermöglichen. Hierzu soll 
der Apotheker oder Arzt am Aufenthaltsort des Patienten 
auf die im anderen Mitgliedstaat geführte Medikations- 
akte, die Teil der medizinischen Kurzakte ist, zugreifen 
können. Die Übermittlung der Gesundheitsdaten soll nur 
mit Einwilligung der Betroffenen erfolgen. 

Auch wenn sich Deutschland noch nicht an dem noch in 
der Testphase befindlichen Projekt beteiligt, habe ich im 
Rahmen der „Subgroup Health Data“ der Artikel-29- 
Gruppe an der Ausarbeitung von Datenschutzempfehlun- 
gen für epSOS mitgewirkt (abrufbar unter http://ec. 
europa.eu/justice/policies/privacy/workinggroup/wpdocs/ 
index_en.htm). Danach sind ausdrückliche Einwilligun- 
gen der Betroffenen sowohl für die Teilnahme am Projekt 
als auch für die Bereifstellung der medizinischen Daten 
sowie für die konkrete Datenübermittlung erforderlich. 
Ebenso wichtig ist, dass für die Dafenübertragung ein ho- 
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her technischer Sicherheitsstandard gilt, etwa eine Ende- 
zu-Ende-Verschlüsselung. 

Der hohe Datenschutzstandard, der für die deutsche elek- 
tronische Gesundheitskarte gilt, muss weiterhin garantiert 
bleiben, auch bei der grenzüberschreitenden Datenverar- 
beitung. Dies ist mir besonders wichtig und darauf werde 
ich weiter hinwirken. 

2.3.3 Sozialdaten kennen keine Grenzen mehr 

Für den elektronischen Austausch von Sozialdaten auf 
europäischer Ebene (EESSI) gibt es jetzt eine gesetzliche 
Grundlage. 

Die Arbeitnehmerfreizügigkeit gehört zu den Grundfrei- 
heiten in der Europäischen Union. Haben Versicherte in 
mehreren Mitgliedstaaten gearbeitet, fallen über sie und 
ihre Familienangehörigen in den Sozialsystemen mehre- 
rer Mitgliedstaaten Informationen an. Viele dieser Infor- 
mationen müssen die Sozialversicherungsbehörden unter- 
einander austauschen. Insbesondere die Sozialbehörden 
des Heimatstaates sind auf diese Informationen aus den 
Sozialbehörden der Staaten angewiesen, in denen die Ar- 
beitsleistung erbracht wurde. Bislang erfolgt die Über- 
mittlung in Papierform auf einer Vielzahl unterschiedli- 
cher Formulare. Die Erstellung der Formulare in den 
jeweiligen Landessprachen ist aufwendig. Zum Teil wer- 
den die Anträge auch als unvollständig, falsch oder unle- 
serlich ausgefüllt zurückgewiesen. 

Künftig soll der Informationsfluss bei grenzüberschrei- 
tenden Sozialversicherungsfällen elektronisch abgewi- 
ckelt werden. Die Übermittlung der jährlich über 15 Mil- 
lionen Nachrichten nationaler Behörden soll über das EU- 
weite IT- System „EESSI - Electronic Exchange of Social 
Security Information“ erfolgen. EESSI soll in das Euro- 
päische Verwaltungsnetzwerk sTESTA eingebunden wer- 
den. Die inländische Infrastruktur wird von den Mitglied- 
staaten jeweils in eigener Verantwortung aufgebaut. Ein 
Verzeichnis der nationalen Institutionen in den Sektoren 
Gesundheitsvorsorge, Renten, Arbeitslosigkeit und Fami- 
lienleistungen, die in den elektronischen Datenaustausch 
einbezogen werden sollen, ist aus dem Internet abrufbar 
(http://ec.europa.eu). 

Für die Einrichtung von EESSI hat die Europäische 
Union auf dem Verordnungswege Regelungen getroffen 
(VO 883/2004/EG; VO 987/2009/EG). Diese in den Mit- 
gliedstaaten unmittelbar anwendbaren Regelungen klären 
weder die Fragen der innerstaatlichen Zuständigkeiten 
noch genügen sie datenschutzrechtlichen Anforderun- 
gen. Entsprechende ergänzende und konkretisierende Be- 
stimmungen wurden daher in Deutschland im „Gesetz zur 
Koordinierung der Systeme der sozialen Sicherheit in 
Europa“ vom 22. Juni 2011 (BGBl. 1 2011 S. 1202) ge- 
troffen. 

Im Gesetzgebungsverfahren habe ich besonders darauf 
geachtet, dass die Stellen, die den Datenfluss zwischen 
den Mitgliedstaaten koordinieren, nur die Kompetenzen 
erhalten, die sie tatsächlich zur Aufgabenerfüllung benö- 
tigen. Wie die Träger der Sozialversicherungen (z. B. 
Kranken-, Renten-, Unfallversicherungen) des Heimat- 


landes von der Entsendung eines Versicherten in ein an- 
deres Mitgliedsland benachrichtigt werden, wird eben- 
falls durch das Gesetz klargestellt. 

Ferner werden die deutschen Verbindungs- und Zugangs- 
stellen bestimmt. Die Verbindungsstellen haben die An- 
fragen und Amtshilfeersuchen der Partnerstaaten zu be- 
antworten. Die Zugangsstellen dienen als Inlandskontakt 
für den elektronischen Datenaustausch sowie die inner- 
staatliche Weiterleitung von Dokumenten und sonstigen 
Informationen. In Deutschland werden fünf solcher Zu- 
gangsstellen bei großen Sozialleistungsträgem eingerich- 
tet. 

Der Gesetzgeber hat meine Anregung aufgegriffen, die 
Nutzung sämtlicher Daten, also auch von bemfsständi- 
schen Versorgungseinrichtungen, von Familienleistungen 
(Kindergeld, Eltemgeld etc.) sowie der Beamtenversor- 
gung, den strengen datenschutzrechtlichen Regelungen 
des Sozialgesetzbuches zu unterwerfen. 

Noch fehlt die Informationstechnik, die eine sichere und 
den Bestimmungen entsprechende Übermittlung der Da- 
ten gewährleistet. Dies bereitet angesichts der Vielzahl 
der teilnehmenden Staaten und der unterschiedlichen 
rechtlichen und technischen Voraussetzungen noch einige 
Schwierigkeiten. Ich werde die technische Umsetzung zu 
gegebener Zeit auf ihre datenschutzrechtliche Konformi- 
tät prüfen. EESSI soll ab Mai 2014 uneingeschränkt nutz- 
bar sein - viel Zeit steht also für eine datenschutzgerechte 
Standardisiemng und Implementiemng der erforderlichen 
Schutzvorkehrungen nicht zur Verfügung. 

2.3.4 Europaweite elektronische 

Identifizierung nur ohne Abstriche 
beim Datenschutz! 

Die geplante EU-Verordnung zur gegenseitigen Anerken- 
nung von elektronischen Identifizierungsmitteln innerhalb 
der Europäischen Union weist noch erheblichen daten- 
schutzrechtlichen Nachbesserungsbedarf auf. 

Am 7. Juni 2012 hat die Europäische Kommission einen 
Vorschlag für eine Verordnung über die elektronische 
Identifizierung und Vertrauensdienste für elektronische 
Transaktionen im Binnenmarkt vorgelegt. Ziel ist die eu- 
ropaweite gegenseitige Anerkennung von elektronischen 
Identifiziemngssystemen und die Harmonisiemng von 
Regelungen über elektronische Vertrauensdienste, wie 
zum Beispiel elektronische Signaturen oder Zustell- 
dienste. 

Die elektronische Identifiziemng kann derzeit in 
Deutschland mit der sog. elD-Funktion des neuen Perso- 
nalausweises erfolgen. Damit kann sich ein Bürger etwa 
gegenüber einer Kommune ausweisen. Die Kommune er- 
hält dann elektronisch die Daten des Ausweises, die sie 
zur eindeutigen Identifiziemng der Person benötigt. Die 
elD-Funktion kann auch beim Onlinekauf eingesetzt 
werden. Dabei ist darauf zu achten, den Zugriff auf dieje- 
nigen personenbezogenen Daten des Ausweises zu 
beschränken, die für den jeweiligen Anwendungsfall un- 
bedingf notwendig sind. So ist es etwa für den kosten- 
pflichtigen Download von altersbeschränkten Videos für 
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den Verkäufer erforderlich aber auch ausreichend, wenn 
er das Alter des Kunden kennt. Der Name muss hingegen 
nicht zwingend genannt werden. 

Diese datenschutzfreundliche Funktion, die eine pseudo- 
nyme Nutzung möglich macht, wird vom Entwurf der 
EU-Verordnung in Frage gestellt, denn sie fordert, dass 
die Identifizierungsdaten der natürlichen oder juristischen 
Person eindeutig zugeordnet sein müssen. Zudem ist die 
gegenseitige Anerkennung nur dem Grundsatz nach gere- 
gelt. So fehlen eindeutige und konkrete Regelungen zum 
Datenschutz und zur Datensicherheit. Es darf nicht dazu 
kommen, dass das bei der deutschen elD-Funktion er- 
reichte hohe Datenschutzniveau durch die Verpflichtung 
abgesenkt wird, elektronische Identifizierungssysteme 
aus anderen Mitgliedstaaten anzuerkennen, die nicht ein- 
mal entfernt dem hier erreichten Datenschutzstandard 
entsprechen. Deshalb begrüße ich es, dass sich die Bun- 
desregierung auf europäischer Ebene für datenschutzge- 
rechte Regelungen zur elektronischen Identifizierung ein- 
setzt. 

2.4 Europäische und internationale 

Datenschutz-Zusammenarbeit 

Zu einem gelebten Datenschutz gehört die grenzüber- 
schreitende Zusammenarbeit der Datenschutzbehörden. 
Auch im Berichtszeitraum hat sich in Sachen Koopera- 
tion einiges getan. 

2.4.1 Artikel-29-Gruppe 

2.4.1. 1 Die Future-of-Privacy-Subgroup 

Die Unterarbeitsgruppe (Subgroup) „Future of Privacy“ 
ist zuständig für Grundsatzfragen des Datenschutzes auf 
EU-Ebene. Sie hat sich im Berichtszeitraum insbesondere 
mit dem Vorschlag der Europäischen Kommission für 
eine EU-Datenschutz-Grundverordnung befasst (vgl. 
Nr. 2.1.1) und hierzu zwei Stellungnahmen der Artikel-29- 
Gruppe vorbereitet. 

ln der Stellungnahme 1/2012 (WP 191) vom 23. März 
2012 begrüßt die Artikel-29-Gruppe den Kommissions- 
vorschlag im Hinblick auf die Stärkung der Position der 
betroffenen Person, die Ausweitung der Verpflichtungen 
des für die Datenverarbeitung Verantwortlichen sowie die 
Verbesserung der Stellung der Aufsichtsbehörden auf na- 
tionaler und internationaler Ebene. Trotz ihrer grundsätz- 
lich positiven Haltung gegenüber der Verordnung ist die 
Datenschutzgiuppe der Ansicht, dass der Vorschlag in 
Teilen präzisierungs- und verbesserungsbedürftig ist. ln 
der Stellungnahme 8/2012 (WP 199) vom 5. Oktober 
2012 ergänzt die Artikel-29-Gruppe ihre grundlegende 
Position zum Kommissionsvorschlag der Datenschutz- 
Grundverordnung. Die Stellungnahme enthält unter ande- 
rem eine Prüfung sämtlicher in dem Verordnungsvor- 
schlag enthaltener Delegationsermächtigungen der Euro- 
päischen Kommission. 

Zudem hat sich die Unterarbeitsgruppe mit den Themen 
„Schutz besonderer Kategorien personenbezogener Daten“, 
„Meldepflichten“ sowie „praktische Zusammenarbeit der 


Datenschutzbehörden“ befasst. Die Beratungsergebnisse 
wurden in so genannten „Empfehlungsschreiben“ (Ad- 
vice Papers) zusammengefasst, die als Beitrag der Arti- 
kel-29-Gruppe zur Reformdiskussion an die Europäische 
Kommission übersandt wurden. 

Eine Liste der im Berichtszeitraum von der Artikel-29- 
Gruppe angenommenen Stellungnahmen und sonstigen 
Dokumenten findet sich unter: http://ec.europa.eu/justice/ 
data-protection/article-29/documentation/opinion-recom 
mendation/indexen.htm. 

2.4.1. 2 Subgroup International Transfers 

Die Subgroup International Transfers (Internationaler 
Datentransfer) befasste sich schwerpunktmäßig mit ver- 
bindlichen Unternehmensregelungen (Binding Corpo- 
rate Rules, BCR) zur Übermittlung personenbezogener 
Daten in Drittstaaten, insb. für Auftragsdatenverarbeiter. 

Die Subgroup International Transfers beschäftigte sich 
mit einer Vielzahl von Fragestellungen zur Übermittlung 
von personenbezogenen Daten in Drittstaaten. Diese ist 
nach Artikel 25 Absatz 1 der europäischen Datenschutz- 
richtlinie 95/46/EG grundsätzlich nur bei Gewährleistung 
eines angemessenen Datenschutzniveaus beim Empfän- 
ger zulässig, eine vielfach nicht erfüllte Anforderung. 

Um dennoch den Datentransfer innerhalb global tätiger 
Untemehmensgruppen zu ermöglichen, werden hierfür 
verbindliche Untemehmensregelungen erarbeitet, die sich 
auf Artikel 26 Absatz 2 der Datenschutzrichtlinie stützen. 
Sie spielen angesichts der zunehmend grenzüberschrei- 
tenden Datenströme eine immer größere Rolle. Das euro- 
päische Verfahren der gegenseitigen Anerkennung von 
verbindlichen Untemehmensregelungen (vgl. 23. TB 
Nr. 10.1) wird inzwischen erfolgreich in der Praxis ange- 
wandt. Europaweit konnten bereits mnd 40 solcher Un- 
temehmensregelungen abgestimmt werden, mnd 20 be- 
finden sich im Abstimmungsverfahren. 

Die Grappe hat im Berichtszeitraum zudem verbindliche 
Untemehmensregelungen für Auftragsdatenverarbeiter 
(„BCR for processors“) entwickelt, für die aufgmnd der 
fechnischen Entwicklung - insbesondere im Bereich des 
Cloud Computing - ein großer Bedarf gesehen wird. 
Working Paper (WP) 195 der Artikel-29-Gmppe vom 
6. Juni 2012 listet die notwendigen Bestandteile solcher 
BCR for processors in Tabellenform auf Ein entspre- 
chendes Antragsformular wurde ebenfalls verabschiedet. 
Die Unterlagen sind unter http://ec.europa.eu/justice/ 
data-protection/article-29/documentation/opinion-recom 
mendation/index en.htm abmfbar. Das EU-weite Verfah- 
ren zur Abstimmung und Anerkennung von verbindlichen 
Untemehmensregelungen für Auftragsdatenverarbeiter 
steht den Unternehmen ab dem 1. Januar 2013 offen. 

Die Teilnehmerstaaten der APEC („Asia-Pacific-Econo- 
mic Cooperation“) verwenden für internationale Daten- 
transfers ein dem europäischen BCR-System ähnliches 
Verfahren, die sog. Cross-Border Privacy Rules (CBPR). 
Eine Arbeitsgmppe bestehend aus Vertretern der APEC 
und Mitgliedern der Subgroup International Transfers, an 
der auch ich mich beteilige, versucht, die beiden Systeme 
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zu harmonisieren und, wenn möglich, eine gewisse Inter- 
operabilität zwischen BCR und CBPR herzustellen. Ziel 
ist es, global operierenden Unternehmen den grenzüber- 
schreitenden Transfer von personenbezogenen Daten in- 
nerhalb der Untemehmensgruppe zu erleichtern, zugleich 
aber den Schutz der Daten auf einem weltweit möglichst 
einheitlichen, hohen Niveau zu gewährleisten. 

2.4.1 .3 Technologischer Datenschutz auch in 
Brüssel - Leitung der Technology 
Subgroup 

Seit Oktober 2010 tagt die Technology Subgroup unter 
Leitung eines Vertreters des BflDI. Sie beschäftigt sich mit 
Fragen des technologischen Datenschutzes und ist mit 
mehr als 30 Teilnehmern die größte Untergruppe der Ar- 
tikel- 2 9- Gruppe. 

Im Oktober 2010 hat ein Mitarbeiter meiner Dienststelle 
den Vorsitz der Technology Subgroup in Brüssel über- 
nommen. Nach dem Arbeitsprogramm der Artikel-29- 
Gruppe beschäftigt sich diese Untergruppe schwerpunkt- 
mäßig mit technologischen Herausforderungen für den 
Datenschutz. 

In den vergangenen zwei Jahren hat die Technology Sub- 
group im Auftrag der Artikel-29-Gruppe verschiedene 
Stellungnahmen erarbeitet. Dazu gehören Arbeitspapiere 
zu den Themen Gesichtserkennung, Meldung von Daten- 
schutzverstößen, RFID PIA (vgl. 23. TB Nr. 5.9), verhal- 
tenbasierte Onlinewerbung und Smart Metering (vgl. 
Nr. 10.1). 

Eine der umfangreichsten und wichtigsten Stellungnah- 
men - bei der Vertreter der Landesdatenschutzbeauftrag- 
ten und meiner Dienststelle als Berichterstatter fungiert 
haben - ist das Papier zu Cloud Computing (vgl. Nr. 5.3). 
Es beschreibt die Gefahren und Risiken der Datenspei- 
cherung und Datenverarbeitung in der „Wolke“, analy- 
siert das anwendbare Recht und die Verpflichtungen von 
Datenverarbeitem und enthält Empfehlungen für Cloud- 
Nutzer und Cloud-Anwender - auch im Zusammenhang 
mit der Datenübermittlung in Drittstaaten. 

Darüber hinaus erarbeitete die Gruppe Positionen zu ak- 
tuellen Themen mit datenschutztechnischer Relevanz. 
Ein Schwerpunktthema in den letzten beiden Jahren war 
die Bewertung der neuen Google-Datenschutzerklärung 
(vgl. Nr. 5.9). Ein weiteres wichtiges Thema bildeten die 
Datenschutzbestimmungen und die Praxis des sozialen 
Netzwerks Facebook (vgl. Nr. 5.8.1). 

2.4.1. 4 Der neue „B(ee)TLE“ 

Als Konsequenz der Veränderungen durch den Vertrag 
von Lissabon hat die ArtikeT29-Gruppe die neue Unter- 
arbeitsgruppe „BTLE“ (Borders, Travel & Law Enforce- 
ment) eingerichtet. 

Die neue Unterarbeitsgruppe beschäftigt sich mit daten- 
schutzrechtlichen Themen aus den Bereichen der Grenz- 
und Migrationskontrolle und der polizeilichen und justi- 
ziellen Zusammenarbeit in Strafsachen. Prominenteste 


Themen waren bisher die Übermittlung von Fluggast- 
und Zahlungsverkehrsdaten in die USA. 

Durch den Vertrag von Lissabon ist die Sonderrolle, die 
der Bereich der polizeilichen und justiziellen Zusammen- 
arbeit in Strafsachen bisher eingenommen hatte (vgl. 
23. TB Nr. 13.5), weitgehend weggefallen. Auf diese 
grundlegende Entwicklung hat die Artikel-29-Gruppe mit 
einer neuen Unterarbeitsgruppe reagiert und im 
Sommer 20 11 die Borders, Travel & Law Enforcement 
(BTLE)-Unterarbeitsgruppe ins Leben gerufen. Diese 
neue Gruppe knüpft an die früheren Arbeiten der Artikel- 
29-Gruppe an, die sich schon vor dem Vertrag von Lissa- 
bon intensiv mit der Übermittlung von Fluggastdaten für 
polizeiliche Zwecke beschäftigt hatte. 

Die europäischen Datenschutzbehörden bündeln in der 
BTLE-Unterarbeitsgruppe zugleich ihre Beratungskom- 
petenz bei den zentralen Datenschutzthemen aus dem 
Bereich von Polizei und Justiz. Entsprechend hat die 
Frühjahrskonferenz der europäischen Datenschutzbeauf- 
tragten im Jahr 2012 entschieden, ihre früher hierfür ein- 
gesetzte Working Party on Police and Justice aufzulösen. 

Seit ihrer Gründung hat die BTLE-Unterarbeitsgruppe 
eine Vielzahl von Beiträgen und Stellungnahmen zu da- 
tenschutzsensiblen Themen erarbeitet. Viel Raum hat die 
Ausarbeitung einer Stellungnahme zum Entwurf einer 
neuen Richtlinie für den Bereich von Polizei und Justiz 
eingenommen (vgl. Nr. 2.1.2). Darüber hinaus hat die Un- 
terarbeitsgruppe mehrfach Äußerungen der Artikel-29- 
Gruppe zu den verschiedenen Initiativen und Abkommen 
vorbereitet, die der vermehrten Nutzung von Fluggastda- 
ten zu polizeilichen Zwecken innerhalb und außerhalb 
von Europa dienen (vgl. Nr. 2.5.2). Von großer daten- 
schutzpolitischer Bedeutung waren zudem das Abkom- 
men mit den USA zur Übermittlung von Zahlungsver- 
kehrsdaten sowie die Überlegungen der Europäischen 
Kommission zur Schaffung eines vergleichbaren europäi- 
schen Programms (vgl. Nr. 2.5.1). In einem von der 
BTLE-Subgroub vorbereiteten Schreiben an die Europäi- 
sche Kommission hat sich die Artikel-29-Gruppe zu der 
Mitteilung der Kommission über „intelligente Grenzen“ 
(vgl. Nr. 2. 5. 3. 3) geäußert. 

Wie schon jetzt absehbar ist, bleibt in all diesen Berei- 
chen viel zu tun. Dies gilt auch für ein neues großes Pro- 
jekt der Luftfahrtindustrie, das noch für einigen Wirbel 
sorgen dürfte: den „Checkpoint ofthe Future“ (vgl. unter 
Nr. 2.5.3). Sowohl bei diesem als auch bei anderen Vor- 
haben sucht die BTLE-Unterarbeitsgruppe den kritischen 
Austausch auf Fachebene mit Vertretern der Europäi- 
schen Kommission sowie der beteiligten Industrien. 

Die Unterarbeitsgruppe wird durch einen Mitarbeiter 
meiner Dienststelle gemeinsam mit einem niederländi- 
schen Kollegen koordiniert. 

2.4.2 Europäische Datenschutzkonferenz 

Die jährliche Frühjahrskonferenz („ Spring Conference “) 
der europäischen Datenschutzbeauftragten befasste sich 
im Berichtszeitraum schwerpunktmäßig mit der EU-Da- 
tenschutzreform (vgl. Nr. 2.1). 
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Die Frühjahrskonferenz des Jahres 2011 wurde am 5. Ap- 
ril in Brüssel gemeinsam vom Europäischen Datenschutz- 
beauftragten und dem Vorsitzenden der Artikel-29- 
Gruppe ausgerichtet. Sie verabschiedete eine Entschlie- 
ßung, welche die Notwendigkeit eines umfassenden EU- 
Datenschutz-Rechtsrahmens betont, der auch den Polizei- 
und Justizbereich umfasst. 

Der Entschließungstext ist aus dem Internet abrufbar un- 
ter http://www.datenschutz.bund.de. 

Zentrales Thema der am 4. Mai 2012 von der Nationalen 
Kommission für den Datenschutz (CNPD) in Luxemburg 
organisierten Konferenz war ebenfalls die Reform des 
EU-Datenschutzrechts. ln ihrer Entschließung begrüßt 
die Konferenz die mit dem Reformvorhaben verfolgten 
Kemziele, nämlich die Stärkung der Rechte Betroffener, 
die Einführung des Verantwortlichkeitsprinzip („Accoun- 
tability“) für datenverarbeitende Stellen sowie die Stär- 
kung der Rolle der unabhängigen Datenschutzbehörden. 

Daneben behandelte die Konferenz Möglichkeiten zur 
Stärkung der Rechte von Intemetnutzem, insbesondere 
bei Cloud Computing und Sozialen Netzwerken, den 
Schutz personenbezogener Daten in den Bereichen Poli- 
zei und Justiz sowie die Modernisierung anderer interna- 
tionaler Datenschutzrechtsnormen, insbesondere der Da- 
tenschutz-Konvention 108 des Europarates sowie der 
OECD-Richtlinien (vgl. Nr. 2.4.5). 

Der Entschließungstext ist auf der Intemetseite der Natio- 
nalen Kommission für den Datenschutz abrufbar (http:// 
www.cnpd.public.lu/fr/actualites/national/2012/04/spring- 
conference-20 1 2/Resolution_on_the_European_data_pro 
tection_reform.pdf). 

Auch in den Jahren 2011 und 2012 fanden daneben 
„Case Handling Workshops“ unter der Verantwortung 
der Europäischen Datenschutzkonferenz statt, an denen 
Angehörige meiner Dienststelle teilgenommen haben. 
Diese Treffen haben sich gut bewährt, um auf europäi- 
scher Ebene Erfahrungen und Kenntnisse auszutauschen 
und auf diese Weise bei der Bearbeitung von Bürgerein- 
gaben und bei der Behandlung von ähnlich gelagerten 
Sachfragen zu einer vergleichbaren Verfahrensweise zu 
gelangen. Die letzten beiden Workshops wurden in War- 
schau (Oktober 2011) und in Budapest (September 2012) 
durchgeführt. Schwerpunktthemen waren hierbei u. a. 
Datenschutz in Sozialen Netzwerken, Datenschutz am 
Arbeitsplatz oder auch Wege und Methoden zur Bearbei- 
tung von Fällen und Beschwerden, die grenzüberschrei- 
tende Übermittlungen personenbezogener Daten zum 
Gegenstand haben. Zielgruppe der Case Handling Work- 
shops sind in erster Linie diejenigen Mitarbeiter der Da- 
tenschutzbehörden, die mit konkreten Problemen und 
Fragestellungen befasst sind (Arbeitsebene). Die einzel- 
nen Workshops stehen Angehörigen von Datenschutz- 
kontrollstellen aus ganz Europa offen. Daher können 
auch die Datenschutzbehörden von Staaten, die (noch) 
nicht der EU angehören, vom gemeinsamen Erfahrungs- 
austausch profitieren. 


2.4.3 Internationale Datenschutzkonferenz 

Die Internationalen Konferenzen der Datenschutzbehör- 
den aus aller Welt gaben auch im Berichtszeitraum viel- 
fältige Anstöße zur weiteren Intensivierung der Zusam- 
menarbeit in einer globalisierten Datenwelt. 

Gastgeber der 33. Internationalen Datenschutzkonferenz 
2011 in Mexiko Stadt war das mexikanische Bundesinsti- 
tut für Zugang zu Informationen und Datenschutz (IFAl). 
Unter dem Titel „Privacy: The global age“ befasste sich 
die Konferenz mit Fragen der Intemationalität von Daten- 
schutz und Datensicherheit. Angesichts zunehmend glo- 
baler Datenströme, deren Umfang täglich neue Superla- 
tive überschreitet, lässt sich das Recht auf Schutz 
personenbezogener Daten wirksam nur durch ein interna- 
tional abgestimmtes Vorgehen gewährleisten. Es wurden 
mehrere Resolutionen gefasst, die eine intensivere Zu- 
sammenarbeit zwischen den aus aller Welt zusammenge- 
kommenen Datenschutzbeauftragten herbeiführen sollen. 
So soll der Zugang von Datenschutzbehörden zur interna- 
tionalen Konferenz durch ein klar geregeltes Akkreditie- 
rungsverfahren ermöglicht, ein Konzept zur Vertiefung 
der internationalen Zusammenarbeit der Aufsichtsbehör- 
den entwickelt und die Zusammenarbeit zwischen den 
Datenschutzbehörden im Bereich der Durchsetzung des 
Datenschutzes verbessert werden. 

Auf meine Initiative hin beschloss die Konferenz einstim- 
mig eine Resolution zum Intemetprotokoll Version 6 
(lPv6) im Hinblick auf die einheitliche Nutzung von 
Identifikatoren bei der Implementierung dieses Protokolls 
(vgl. hierzu auch Nr. 5.6). Eine weitere Entschließung be- 
traf den einheitlichen Datenschutz im Katastrophenfall 
einschließlich der Vereinfachung des datenschutzgerech- 
ten Datenaustauschs. 

Die 34. Internationalen Datenschutzkonferenz 2012 in 
Uruguay wurde von der Regulierungs- und Kontrollabtei- 
lung für personenbezogene Daten in Uruguay (URCDP) 
unter dem Motto „Persönlichkeitsschutz und Technologie 
im Gleichgewicht“ ausgerichtet. Im Fokus stand die In- 
tensivierung der Zusammenarbeit und des Informations- 
austauschs zwischen den Datenschutzbehörden in aller 
Welt, ein Thema, das auch in einer Resolution vertiefend 
behandelt wurde. Die von mir vorbereitete und von der 
Konferenz einstimmig angenommene Entschließung zum 
Cloud Computing enthält sechs grundlegende Empfeh- 
lungen für die Datenverarbeitung in der Cloud (vgl. 
hierzu auch unter Nr. 5.3). 

Einen weiteren technologischen Schwerpunkt bildete das 
Thema Profiling. Die Konferenzteilnehmer erörterten die 
Entwicklung des Profilings auf verschiedenen Kontinen- 
ten sowohl im öffentlichen als auch im nicht-öffentlichen 
Bereich. Sie stellten fest, dass die Zusammenführung und 
Verknüpfung personenbezogener Daten zu Profilen eine 
zunehmende Gefahr für das Persönlichkeitsrecht darstellt. 
Die Gastgeber griffen die Problematik in ihrer sog. Uru- 
guay-Erklärung auf, in der sie für eine rechtliche ein- 
wandfrei gestaltete und transparente Profilbildung eintra- 
ten. 



Deutscher Bundestag - 17. Wahlperiode 


-37- 


Drucksache 17/13000 


Die Resolutionen und Erklärungen sind abrufbar unter 
http://www.datenschutz.bund.de. 

Die 33. Internationale Konferenz hatte im Herbst 2011 
eine Arbeitsgruppe eingesetzt, die Konzepte zur Vertie- 
fung der internationalen Zusammenarbeit der Aufsichts- 
behörden erarbeiten soll. Ich beteilige mich für Deutsch- 
land an den Beratungen. Der Vorsitz der Gruppe liegt bei 
Kanada (Privacy Commissioner of Canada - PCC) und 
Großbritannien (The Information Commissioner's Office - 
ICO), ln einem nächsfen Schritt wird Kanada in der Ar- 
beitsgruppe ein Konzept für die Intensivierung der Zu- 
sammenarbeit zum Datenaustausch und zu Durchsetzung 
des Datenschutzes gegenüber Behörden vorlegen. Hinter- 
grund der kanadischen Initiative dürfte sein, dass es bis- 
her entsprechende Abkommen und abgestimmte Vorge- 
hensweisen im Wesentlichen nur bilateral zwischen 
EWR/Artikel-29-Gruppe und USA/FTC gegeben hat. Je- 
doch bereits in der Madrid-Erklärung der 3 1 . Internatio- 
nalen Datenschutzkonferenz im Jahr 2009 wurde eine 
stärkere internationale Kooperation auch im öffentlichen 
Bereich gefordert (vgl. 23. TB Nr. 13.14). 

Außerhalb der Internationalen Datenschutzkonferenz war 
im Frühjahr 2010 das Global Privacy Enforcement Net- 
work (GPEN) als informeller Zusammenschluss nationa- 
ler Datenschutzbehörden errichtet worden mit dem Ziel, 
die internationale Zusammenarbeit im Bereich der Durch- 
setzung des Datenschutzes im nichtöffentlichen Bereich 
zu verbessern. Das Netzwerk, das Anfang 2010 auf Initia- 
tive der FTC errichtet wurde, ist inzwischen auf 31 Mit- 
glieder angewachsen. Im Mittelpunkt seiner Arbeiten ste- 
hen ein verbesserter gegenseitiger Erfahrungsaustausch, 
die Durchführung von Fortbildungsmaßnahmen gemein- 
sam mit Vertretern von Wirtschaft, Wissenschaft oder in- 
ternationalen Organisationen sowie die Zusammenarbeit 
mit vergleichbaren Einrichtungen vor. Auch können ggf 
Maßnahmen bilateraler Unterstützung und Kooperation 
vereinbart werden. 

2.4.4 Verbesserte Zusammenarbeit der 

europäischen Datenschutzbehörden 

Die Datenverarbeitung macht heute nicht mehr Halt an 
nationalen Grenzen. Datenschutzrechtliche Sachverhalte 
betreffen immer häufiger Personen in mehreren Mitglied- 
staaten oder der gesamten EU. Für die Datenschutzbe- 
hörden ergibt sich hieraus die Notwendigkeit einer ver- 
stärkten grenzüberschreitenden Zusammenarbeit. 

Bereits nach der EG-Datenschutzrichtlinie 95/46/EG be- 
stehen die Möglichkeit und Notwendigkeit der Koopera- 
tion der nationalen Datenschutzbehörden in Sachverhal- 
ten mit grenzüberschreitender Dimension. So sieht 
Artikel 28 Absatz 6 vor, dass die Aufsichtsbehörden „für 
die zur Erfüllung ihrer Kontrollaufgaben notwendige ge- 
genseitige Zusammenarbeit, insbesondere durch den Aus- 
tausch sachdienlicher Informationen“ sorgen. Die prakti- 
sche Zusammenarbeit erfolgt gegenwärtig vor allem im 
Rahmen der Artikel-29-Datenschutzgruppe und ihrer Un- 


terarbeitsgruppen, insbesondere der „Technology Sub- 
group“ (vgl. Nr. 2.4. 1.3). 

Als Beispiel für die fiuchtbare Kooperation der Daten- 
schutzbehörden im Rahmen dieser Unterarbeitsgruppe 
möchte ich die im Verlauf des Jahres 2012 erfolgte Be- 
wertung der neuen Datenschutzrichtlinie des Unterneh- 
mens Google hervorheben (vgl. Nr. 5.9). Die Bewertung 
wurde federführend durch die CNIL, die französische Da- 
tenschutzbehörde, vorgenommen. Die Unterarbeits- 
gruppe wurde dabei zu jedem Zeitpunkt in die technische 
Analyse einbezogen. Auch die Kommunikation zwischen 
Google und der CNIL, welche im gesamten Prozess stell- 
vertretend für die Artikel-29-Datenschutzgruppe agierte, 
wurde innerhalb der Technology Subgroup abgestimmt 
und koordiniert. Als Ergebnis dieser Kooperation wurde 
am 16. Oktober 2012 seitens der Artikel-29-Gruppe ein 
Schreiben an Google versandt, das von den Datenschutz- 
beauftragten aller 27 Mitgliedstaaten unterzeichnet 
wurde. 

Als weiteres Beispiel für gelungene Kooperation möchte 
ich die Zusammenarbeit der Datenschutzbehörden mit der 
ENISA, der Europäischen Agentur für Netz- und Infor- 
mationssicherheit, zum Thema „Meldung von Daten- 
schutzverstößen“ erwähnen, ln enger Kooperation erar- 
beiten die Technology Subgroup und die ENISA hier eine 
Methodik zur Analyse des Schweregrades von Daten- 
schutzverstößen. 

Schließlich möchte ich auf die datenschutzrechtliche Be- 
wertung des sozialen Netzwerkes Facebook hinweisen 
(vgl. Nr. 5.8.1). Unter Federführung der irischen Daten- 
schutzbehörde wurde innerhalb der Technology Subgroup 
eine ausführliche Bewertung vorgenommen, die zur Er- 
stellung zweier Audit Reports führte. 

Die Beispiele „Google“ und „Facebook“ zeigen, wie 
wichtig ein einheitliches Vorgehen der Datenschutzbehör- 
den der EU-Mitgliedstaaten in Fällen ist, in denen Perso- 
nen in mehreren Mitgliedstaaten oder der gesamten EU 
betroffen sind. 

Die Europäische Kommission hat die Globalisierung des 
Datenschutzes aufgriffen und schlägt in dem Entwurf der 
EU-Datenschutz-Grundverordnung die Einführung eines 
Verfahrens der verstärkten Zusammenarbeit, der Amts- 
hilfe und der Kohärenz in Fällen vor, in denen mehrere 
Mitgliedstaaten von Verarbeitungsvorgängen eines Ver- 
antwortlichen betroffen sind (vgl. Nr. 2.1.1). Durch einen 
Abstimmungsmechanismus innerhalb des Europäischen 
Datenschutz-Ausschusses, des Nachfolgegremiums der 
Artikel-29-Gruppe, soll in diesen Fällen eine einheitliche 
Rechtsauslegung und Anwendungspraxis innerhalb der 
EU erreicht werden. Ich unterstütze dieses Ziel nach- 
drücklich. Hierbei muss allerdings sichergestellt sein, 
dass die Unabhängigkeit der Datenschutzaufsicht unange- 
tastet bleibt und die Datenschutzbehörden „Herrinnen des 
Verfahrens“ bleiben. Zudem setzt eine effektive Koopera- 
tion voraus, dass die Aufsichtsbehörden mit den erforder- 
lichen sächlichen und personellen Ressourcen ausgestat- 
tet werden. 
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2.4.5 OECD und Europarat 

Sowohl der Europarat als auch die OECD arbeiten an 
der Novellierung ihrer jeweiligen Datenschutzinstru- 
mente. Die strengeren Datenschutzregelungen in der 
Europäischen Union sind zwar davon nicht direkt betrof- 
fen, inspirieren aber auch die Diskussion in diesen Gre- 
mien. 

Nicht nur aufgrund der großen geographischen Reich- 
weite - 47 Staaten sind Mitglied des Europarats; die 
OECD hat 34 Mitgliedstaaten - tragen deren Daten- 
schutz-Instrumente zur Verbreitung und Stärkung des Da- 
tenschutzes bei. So war das 1981 in Kraft getretene Euro- 
parats-Übereinkommen zum Schutz des Menschen bei 
der automatischen Verarbeitung personenbezogener Da- 
ten („Übereinkommen 108“) das erste verbindliche inter- 
nationale Instrument im Bereich des Datenschutzes. Es 
hat eine Vielzahl nationaler und internationaler Entwick- 
lungen im Datenschutz initiiert und vorangebracht. Ich 
begrüße es, dass der Europarat beabsichtigt, das Überein- 
kommen 108 zu modernisieren. Grundlegende Ziele sind 
zum einen die Anpassung an neue Herausforderungen an 
den Datenschutz, die mit der technologischen Entwick- 
lung sowie dem Internet einhergehen, wie z. B. dem 
Cloud Computing oder der Nutzung sozialer Netzwerke. 
Zum anderen soll Kohärenz mit den Datenschutzbestim- 
mungen in der EU, die momentan einer umfassenden Re- 
form unterzogen werden (vgl. Nr. 2.1), sichergestellt wer- 
den. 

Positiv bewerte ich, dass nach den Vorschlägen für eine 
überarbeitete Fassung des Übereinkommens der Anwen- 
dungsbereich der Konvention weiterhin umfassend blei- 
ben und die Koordination der Datenschutzaufsichtsbehör- 
den verbessert werden sollen. Die Anregungen, die ich im 
Rahmen der Verhandlungen auf Fachebene eingebracht 
habe, wurden im Wesentlichen aufgegriffen. Insbeson- 
dere differenzieren die Vorschriften zum grenzüberschrei- 
tenden Datentransfer nun nach Übermittlungen zwischen 
Vertragsstaaten und solchen mit Nicht- Vertragsstaaten. 
Die Vorschriften lassen dabei Raum für strengere EU-Re- 
gelungen. Dies begrüße ich ausdrücklich, denn gerade bei 
der grenzüberschreitenden Datenübermittlung ist die 
Kompatibilität mit dem Entwurf der Datenschutz-Grund- 
verordnung der EU von besonderer Bedeutung. 

Die Revision der aus dem Jahr 1980 stammenden OECD 
Privacy Guidelines wurde durch eine Expertengruppe 
vorbereitet, bestehend aus Regierungsvertretem, Mitar- 
beitern von Datenschutzaufsichtsbehörden - darunter 
auch Mitarbeiter meiner Dienststelle -, Wissenschaftlern, 
Wirtschaftsvertretem und Vertretern der Zivil- und der In- 
temetgesellschaft. Nach ihrem Vorschlag sollen die 
grundlegenden Begriffsbestimmungen der Guidelines, 
etwa die Definition personenbezogener Daten, und die 
Grundprinzipien der Datenverarbeitung, wie etwa die 
Zweckbindung und die Datensicherheit, unangetastet 
bleiben. Ausgeweitet und konkretisiert werden soll hinge- 
gen das Konzept der Verantwortlichkeit („Accountabi- 
lity“) der Daten verarbeitenden Stellen. Diese sollen dazu 
verpflichtet werden, den in den Guidelines niedergelegten 
Datenschutzgrundsätzen mit Hilfe eines Datenschutzpro- 


gramms Geltung zu verschaffen. Wichtiger Bestandteil 
eines solchen Datenschutzprogramms soll eine Melde- 
pflicht für schwerwiegende Datenschutzverstöße sein, 
wie sie auch der Vorschlag für eine EU-Datenschutz- 
Grundverordnung vorsieht. Weiterhin werden die OECD- 
Mitgliedstaaten zu erweiterten Maßnahmen im Bereich 
des Datenschutzes auf nationaler Ebene aufgefordert. 
Hierzu gehören u. a. nationale Datenschutzstrategien und 
die Einrichtung von unabhängigen Datenschutzaufsichts- 
behörden. Schließlich fordern die Guidelines eine 
stärkere internationale Zusammenarbeit im Bereich Da- 
tenschutz, inklusive Maßnahmen zur Förderung von Inte- 
roperabilität zwischen verschiedenen Datenschutzsyste- 
men, etwa mit der APEC (vgl. Nr. 2.4. 1.2). Die OECD 
Guidelines stellen nur Mindeststandards dar (vgl. Arti- 
kel 5 der Guidelines). Der OECD-Rat soll voraussichtlich 
im Frühjahr 2013 mit den Revisionsvorschlägen befasst 
werden. 

2.5 Internationaler Datenschutz - 
Einzelfragen 

2.5.1 SWIFT-Daten in die USA - ein Blindflug? 

Die Auseinandersetzung um die Übermittlungen von 
,, SWIFT “-Zahlungsverkehrsdaten in die USA geht weiter. 
Die Berichte der Gemeinsamen Kontrollinstanz Europol 
nähren Zweifel, ob die in dem Abkommen eingebauten 
Beschränkungen wirken. Für skandalös halte ich es, dass 
die als geheim einzustufenden Kontrollberichte nicht den 
Parlamenten vorgelegt werden. 

Die Nutzung von Zahlungsverkehrsdaten des Dienstleis- 
ters SWIFT (Society for Worldwide Interbank Financial 
Telecommunication) durch US-Sicherheitsbehörden ist 
durch US-Medien im Jahr 2006 aufgedeckt worden. Seit- 
her ist sie ein Dauerbrenner der transatlantischen Aus- 
einandersetzung über die Voraussetzungen, unter denen 
sensible Daten unverdächtiger Bürger zum Zwecke der 
Terrorismusbekämpfung verarbeitet werden dürfen (vgl. 
zuletzt 23. TB Nr. 13.6). 

In den vergangenen zwei Jahren hat sich die Diskussion 
über das am 1. August 2010 in Kraft getretene Abkom- 
men zwischen der Europäischen Union und den USA auf 
die Frage zugespitzt, in welchem Maße auf der Grundlage 
des Abkommens welche Daten über den Atlantik ge- 
schickt werden. Entscheidende Bedeutung kommt dabei 
Europol zu. Denn das Abkommen weist dem europäi- 
schen Polizeiamt eine Art Wächterrolle zu. Ohne eine 
positive Entscheidung, mit der Europol im Einzelfall be- 
stätigt, das konkrete US-amerikanische Ersuchen um 
Übermittlung der Zahlungsverkehrsdaten halte die Gren- 
zen des Abkommens ein, darf SWIFT keine Daten aus 
der EU in die USA übermitteln. Auf den Interessenskon- 
flikt, in den Europol damit gebracht wurde, hatte ich 
schon in meinem letzten Tätigkeitsbericht hingewiesen 
(23. TB Nr. 13.6). Die datenschutzrechtlichen Kontrollen 
bei Europol haben meine Zweifel an dem Abkommen 
bestätigt. Die Gemeinsame Kontrollinstanz Europol 
(GKI Europol), in der auch Mitarbeiter meiner Behörde 
vertreten sind, hat in ihren bis zum Redaktionsschluss 
vorliegenden zwei öffentlichen Berichten die Probleme 
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angesprochen. Im ersten, 2011 vorgelegten Kontrollbe- 
richt von der GKI Europol, wurde festgestellt, dass die 
Ersuchen der US-Seite zu abstrakt und zu allgemein seien. 
Daher könne nicht wirklich überprüft werden, ob die Vor- 
gaben des Abkommens eingehalten wurden, die Ersuchen 
auf das notwendige Minimum zu begrenzen. Zudem wür- 
den wesentliche Informationen zur Begründung der US- 
Ersuchen nur mündlich mitgeteilt und seien daher man- 
gels einer Dokumentation einer Prüfung entzogen. Auch 
der zweite, 2012 veröffentlichte Bericht verdeutlicht die 
Schwierigkeiten bei der Anwendung des Abkommens. 
Zwar stellt die GKI Europol einige Fortschritte fest. Es 
bleibt jedoch ein großes Fragezeichen, ob die Forderung 
des Europäischen Parlaments erfüllt ist, den Umfang der 
übermittelten Daten auf das notwendige Minimum zu be- 
grenzen. Denn die GKI Europol darf die konkreten Fak- 
ten und Zahlen zur Anwendung des Abkommens nicht 
veröffentlichen. Die Ersuchen, die Europol aus den USA 
erreichen, sind vor der ersten Prüfung durch die GKI 
Europol von den USA in toto als „geheim“ eingestuft 
worden und haben seither diese Einstufung behalten. Die 
GKI Europol war deshalb verpflichtet, die vollständigen 
Berichte über die Kontrollen ebenso als „geheim“ einzu- 
stufen. Diese sehr weit gehende Klassifizierung erschwert 
die Berichterstattung, Diskussion und Bewertung des Ab- 
kommens in einem Maße, das ich im Sinne des Demokra- 
tieprinzips für nicht hinnehmbar halte. Selbst die Abge- 
ordneten der nationalen Parlamente und des Europäischen 
Parlaments sollen deswegen diese wichtigen Informatio- 
nen zur Bewertung des Abkommens nicht erhalten. Die 
politische Bewertung des Abkommens liegt letztendlich 
in der Hand der europäischen Parlamente. Diese dürfen 
die Kontrollberichte allerdings nicht einsehen, auch nicht 
in ihren eigens für solche Fälle vorgesehenen Geheim- 
schutzstellen. Und dies, obwohl Abgeordnete so genannte 
geborene Geheimnisträger sind. Diese Auffassung vertre- 
ten zumindest Europol, die Europäische Kommission und 
die US-Regierung. Als Konsequenz führt eine Einstufung 
durch die US-Seite dazu, dass die europäischen Parla- 
mentarier nicht Kenntnis von der praktischen Umsetzung 
des Abkommens erlangen können, obwohl sie die politi- 
sche Verantwortung tragen und darüber zu entscheiden 
haben, in welchem Umfang die Finanzdaten aus Europa 
in die USA übermittelt werden. Derartige Blindflüge darf 
es in der Demokratie nicht geben. Die GKI Europol hat 
daher entschieden, den Abgeordneten des Europäischen 
Parlaments in einer die Geheimschutzvorschriften von 
Europol achtenden Art und Weise Zugang zu den voll- 
ständigen Kontrollberichten zu gewähren. Das letzte Wort 
in dieser Auseinandersetzung ist noch nicht gesprochen, 
soviel scheint sicher. 

2.5.2 Immer wieder Fluggastdaten 

Flugzeuge ziehen nicht bloß Kondensstreifen am Himmel 
hinter sich her. Immer umfangreicher werden auch die 
- allerdings nicht flüchtigen - Datenspuren, die Flugpas- 
sagiere hinterlassen. Kein Wunder, dass diese Daten viel- 
fältigen Begehrlichkeiten ausgesetzt sind. 

Ob und wie von den Fluggesellschaften für geschäftliche 
Zwecke erhobene Passagierdaten (sog. Passenger Name 
Records, PNR) ohne Vörliegen von Verdachtsmomenten 


für Zwecke der Gefahrenabwehr und Strafverfolgung 
genutzt werden dürfen, gehört nunmehr schon zu den 
Klassikern der datenschutzrechtlichen Auseinanderset- 
zungen. Dies gilt national, europäisch und vor allem 
transkontinental im Verhältnis zu den USA. Im Berichts- 
zeitraum standen zwei Entwicklungen im Mittelpunkt: 
Die Abkommen mit den USA und Australien einerseits 
(vgl. Nr. 2.5.2. 1) und der Entwurf für eine Richtlinie der 
Europäischen Union anderseits, mit der die europäischen 
Polizeibehörden selbst berechtigt würden, PNR-Daten zu 
polizeilichen Zwecken ohne konkreten Anlass zu erheben 
und zu verarbeiten (vgl. Nr. 2. 5. 2. 2). 

2.5.2. 1 Übermittlung von Fluggastdaten nach 
Übersee 

Die sehr umfangreiche Übermittlung europäischer Flug- 
gastdaten in die USA wird auf Basis eines neuen Abkom- 
mens fortgesetzt. Immer mehr Staaten orientieren sich an 
diesem Vorbild. Meine kritische Bewertung daran hat 
sich nicht geändert. 

Seit mehr als 10 Jahren verlangen US-Sicherheitsbehör- 
den vor jedem Flug in die USA zu verschiedenen Zeit- 
punkten von unterschiedlichen Akteuren eine Vielzahl 
personenbezogener Passagierdaten und verwenden sie für 
Zwecke der Terrorismusbekämpfung und weitere Zwecke 
(vgl. zuletzt 23 TB Nr. 13.9). Selbst Spezialisten fällt es 
mittlerweile schwer, den vollständigen Überblick über die 
Vielzahl von Übermittlungsverpflichtungen zu behalten. 
Die vermutlich sensibelste betrifft die PNR (Passenger 
Name Record)-Daten, die von den Fluggesellschaften für 
die Durchführung einer Reise erhoben werden. Zu den 
PNR-Daten gehören auch Angaben zu Kreditkarten- und 
Telefonnummern, E-Mail- und Kontakt-Adressen und 
speziellen Essenswünschen. 

Seit dem Sommer 2012 erfolgt die Übermittlung von 
PNR-Daten auf der Grundlage eines neuen zwischen der 
EU und den USA geschlossenen Abkommens. Ein neues 
Abkommen zur Übermittlung von PNR-Daten hat die EU 
auch mit Australien abgeschlossen. Insbesondere zu dem 
Abkommen mit den USA habe ich nicht nur im Grund- 
satz, sondern auch in verschiedenen Details Kritik geübt. 
Zentraler Kritikpunkt der Stellungnahme der Artikel-29- 
Gruppe, vom 6. Januar 2012, an der ich wesentlich mitge- 
wirkt habe, bleibt die unverändert lange Speicherung 
sämtlicher Daten für 15 Jahre. 

Zwar sehe ich es positiv, wenn nunmehr auf die Dafen im 
Regelfall nach einiger Zeit nur noch „maskiert“ (ohne 
Nennung des Namens des jeweiligen Passagiers) zuge- 
griffen werden soll. Dies ändert aber nichts daran, dass 
sämtliche Daten für den gesamfen Zeifraum vollständig 
gespeichert bleiben. Das Abkommen lässt auch hinsicht- 
lich der Zwecke, zu denen die Daten verwendet werden 
dürfen, vieles offen. Nicht zufrieden bin ich ferner mit 
den Rechtsschutzmöglichkeiten für europäische Bürge- 
rinnen und Bürger nach US-amerikanischem Recht. Im 
Vergleich zu finheren oder vergleichbaren Regelungen 
enthält das neue Abkommen zwar mehr Bezugnahmen 
auf verschiedene US-amerikanische Gesetze. Doch blei- 
ben erhebliche Zweifel, ob diese wirklich den Rechts- 
schutz für Europäer an denjenigen von US-Bürgem an- 
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gleichen. Eine gerichtliche Überprüfung der Speicher- 
und Verarbeitungspraxis der US-Behörden nach dem 
PNR-Abkommen bleibt Betroffenen ohne US-Wohnsitz 
jedenfalls weiterhin verwehrt. 

Für zweifelhaft halte ich es, ob nach dem PNR-Abkommen 
auch Passagierdaten bloßer Überflüge ohne Landung in 
den USA übermittelt werden dürfen, Die US-Behörden 
verlangen von den Fluggesellschaften auch Passagier-Da- 
ten, wenn US-amerikanischer Luftraum nur berührt wird, 
etwa bei Direktflügen aus Europa in die Karibik. 

Schließlich beobachte ich mit Sorge, dass immer mehr 
Staaten nach dem US-Modell die Vorab-Übermittlung 
von umfangreichen Passagierdaten fordern, darunter sol- 
che, die man auch bei bestem Willen kaum als demokra- 
tisch bezeichnen kann. Ich bin gespannt auf die Antwor- 
ten aus Berlin und Brüssel. 

2.5.2.2 PNR für Europa? 

Die Europäische Kommission hat einen Vorstoß zur an- 
lasslosen Speicherung von Fluggastdaten unternommen. 

Werden PNR-Daten zukünftig auch von europäischen Si- 
cherheitsbehörden ohne Vorliegen eines konkreten Ver- 
dachts genutzt und gespeichert? Die Europäische Kommis- 
sion hat jedenfalls im Februar 20 11 einen neuen Entwurf 
vorgelegt, der dies vorsieht. Schon seit vielen Jahren wurde 
im Rat kontrovers über das Vorhaben diskutiert. Ein erster 
Entwurf mit vergleichbarer Zielrichtung stammt von No- 
vember 2007 (vgl. 22. TB Nr. 13.5.3), wurde aber nach 
heftiger Kritik zunächst nicht weiterverfolgt. 

Die Konferenz der Datenschutzbeauftragten des Bundes und 
der Länder hat in ihrer Entschließung vom 16./17. März 
2011 die kritischen Punkte deutlich gemacht (vgl. Kasten 
zu Nr. 2. 5. 2. 2). Auch der neue Entwurf bleibe konkrete 
Beweise dafür schuldig, dass die anlassfreie automati- 
sierte Auswertung und Analyse von Flugpassagierdaten 
durch Polizei und Strafverfolgungsbehörden geeignet und 
erforderlich sei, um Terrorismus und schwere Kriminali- 
tät zu bekämpfen. 

Darüber hinaus fordert der Entwurf die Rechtsprechung 
des Bundesverfassungsgerichts gleich an zwei Stellen he- 
raus. Zum einen würde eine verdachtslose Speicherung 
aller PNR-Daten eine weitere anlasslose Vorratsdaten- 
speicherung schaffen - dieses Mal nicht bei den Anbie- 
tern von Telekommunikationsdiensten, sondern unmittel- 
bar bei Grenz- oder Polizeibehörden. Das Gericht hatte in 
seinem Urteil zur anlasslosen Vorratsdatenspeicherung 
(Urteil vom 2. März 2010, IBvR 256/08) klargestellt, 
dass die Wahrnehmung der Handlungsfreiheit der Bürge- 
rinnen und Bürger nicht total erfasst und registriert wer- 
den dürfe. Dies gehöre zur verfassungsrechtlichen Identi- 
tät der Bundesrepublik Deutschland (vgl. 23. TB Nr. 6.1). 
Die Luft für Vorratsdatenspeicherung ist also nicht nur 
datenschutzpolitisch, sondern schon verfassungsrechtlich 
sehr, sehr dünn. 

Die andere verfassungsrechtliche Frage betrifft die ge- 
planten Datenabgleiche. Vorgesehen ist unter anderem, 
die Daten aller Passagiere mit vordefinierten Risikoprofi- 
len abzugleichen. Die Nähe zur Rasterfahndung liegt auf 


der Hand. Eine präventive Rasterfahndung ist allerdings 
nach der Rechtsprechung des Bundesverfassungsgerichts 
unzulässig, solange keine hinreichend konkrete Gefahr 
für hochrangige Rechtsgüter vorliegt (Beschluss vom 
4. April 2006, 1 BvR 518/02 - vgl. 21. TB Nr. 5.2.3). 

Ein weiterer großer Streitpunkt betrifft eine Regelung, die 
in dem Entwurf der Kommission gar nicht vorkommt. 
Verschiedene Mitgliedstaaten und Parlamentarier wollen 
auch die Flüge innerhalb der Europäischen Union einbe- 
ziehen. Erfasst wären also nicht mehr nur Femflüge, son- 
dern auch Flüge zwischen Berlin und Paris oder Köln und 
Rom. Dann aber wäre es nur logisch, Bahn-, Schiffs- und 
Busreisende gleich mit zu erfassen. So breitet sich die 
„Kultur der Überwachung“ - gleich einem Ölfieck auf 
dem Wasser - immer weiter aus. Es ist zu hoffen, dass die 
verfassungsrechtlichen „Ölsperren“ dieser Entwicklung 
Einhalt gebieten. 

Kasten zu Nr. 2. 5. 2. 2 


Entschließung der 81. Konferenz der Datenschutz- 
beauftragten des Bundes und der Länder 
am 16./17. März 2011 

Keine Vorratsspeicherung und Rasterung 
von Flugpassagierdaten! 

Die EU-Kommission hat am 2. Februar 2011 einen 
neuen Entwurf für eine Richtlinie zur Nutzung von EU- 
Flugpassagierdaten zur Gefahrenabwehr und Strafver- 
folgung vorgestellt. 

Zentraler Gegenstand des Entwurfs ist die systematische 
Erfassung der Daten aller Fluggäste, die EU-Außen- 
grenzen überqueren. Diese Daten aus den Buchungssys- 
temen der Fluggesellschaften sollen anlass- und ver- 
dachtsunabhängig an eine nationale Zentralstelle der 
Sicherheitsbehörden übermittelt und regelmäßig für 
fünf Jahre gespeichert werden. Ziel soll es sein, damit 
Personen ausfindig zu machen, die in Terrorismus oder 
schwere Kriminalität verwickelt sein könnten. 

Auch der neue Entwurf bleibt konkrete Beweise dafür 
schuldig, dass die anlassfreie automatisierte Auswer- 
tung und Analyse von Flugpassagierdaten geeignet und 
erforderlich ist, um dieses Ziel zu fordern. Ein solches 
Zusammenspiel von Vorratsspeicherung und Rasterung 
von Passagierdaten ist weder mit der EU-Grund- 
rechtecharta noch mit dem grundgesetzlich garantierten 
Recht auf informationelle Selbstbestimmung vereinbar. 
Dies gilt insbesondere im Hinblick auf die Rechtspre- 
chung des Bundesverfassungsgerichts, das in seinem 
Urteil vom 2. März 2010 (1 BvR 256/08) zur Vorratsda- 
tenspeicherung von Telekommunikationsverkehrsdaten 
gemahnt hat: 

Zur verfassungsrechtlichen Identität der Bundesrepublik 
Deutschland gehört es, dass die Freiheitswahmehmung 
der Bürgerinnen und Bürger nicht total erfasst und re- 
gistriert werden darf Hierfür hat sich die Bundesrepu- 
blik auch auf europäischer und internationaler Ebene 
einzusetzen. 
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Ein solches System würde noch weiter reichende Ein- 
griffe in die Bürgerrechte ermöglichen, wenn sogar Vor- 
schläge zur Speicherung der Fluggastdaten bei Flügen 
innerhalb der Europäischen Union und von Daten der 
Bahn- und Schiffsreisenden Eingang in diese Richtlinie 
finden würden. 

Dieser Entwurf verdeutlicht erneut, dass ein schlüssiges 
Gesamtkonzept auf europäischer Ebene zur Datenverar- 
beitung im Bereich der inneren Sicherheit fehlt, welches 
die Grundrechte der Betroffenen hinreichend gewähr- 
leistet. 

Die Konferenz fordert daher die Bundesregierung und 
den Bundesrat auf, sich dafür einzusetzen, dass der Vor- 
schlag der EU-Kommission für eine Richtlinie über die 
Verwendung von Passagierdaten nicht realisiert wird. 


2.5.3 Zur Zukunft der Grenz- und 
Luftsicherheitskontrollen 

Grenz- und Sicherheitskontrollen machen niemandem 
Spaß, sind lästig und kosten Zeit. Nachdem sie über Jahr- 
zehnte weltweit reduziert und innerhalb des Schengen- 
raums völlig abgeschafft worden waren, erleben sie seit 
einiger Zeit eine Renaissance, insbesondere seit den Ter- 
roranschlägen von 2001. Kein Wunder, dass dabei zuneh- 
mend Technik eingesetzt wird. 

Sowohl die Luftfahrtindustrie als auch die Politik erwei- 
sen sich als eifrige Ideengeber. Ein Konzept des Luft- 
fahrtverbandes lATA macht schon im Titel eines großen 
Projekts seine Zielsetzung deutlich: die Schaffung des 
„Checkpoint of the Future“ (vgl. 23. TB Nr. 7.3.2). Auch 
im Bundesministerium des Innern wird an neuen Konzep- 
ten zur Flugsicherheit gearbeitet. Das erneute Ausrollen 
der Körperscanner ist nur eine Maßnahme. Daneben ste- 
hen Pläne zur Fortentwicklung der biometrischen Grenz- 
kontrollen und von Programmen für sog. registrierte Viel- 
reisende. Überlegungen zu „intelligenten Kontrollen“ hat 
schließlich auch die Europäische Kommission angestellt. 

2. 5.3.1 „Checkpoint of the Future“ - eine 
Diskriminierungsfalle? 

Die Sicherheitsschleusen am Flughafen der Zukunft sol- 
len den ,, gefährlichen Passagier“ aufspüren. Ungerecht- 
fertigte Intensiv-Kontrollen und diskriminierende Prakti- 
ken sind dabei vorprogrammiert. Und ob damit wirklich 
mehr Sicherheit erreicht wird, erscheint fraglich. 

Schon in meinem letzten Tätigkeitsbericht hatte ich über 
die ersten noch recht vagen Überlegungen des Luftfahrt- 
verbandes lATA berichtet, ein Modell für einen „Check- 
point ofthe Future“ zu schaffen (23. TB Nr. 7.3.2). Nach 
den weiterentwickelten Plänen zu einer „risikobasierten 
Sicherheitskontrolle“ sollen mehr Passagiere in kürzerer 
Zeit abgefertigt werden können. Zudem sollen mehr und 
mehr Reisende nach einer Sicherheitsüberprüfung als „re- 
gistrierte Vielreisende“ (registered travellers) in entspre- 
chenden Programmen erfasst werden. 


Das neue Gedankengebäude der lATA wirft viele Fragen 
auf, vor allem: Wie will man herausfinden, wer ein „ge- 
fährlicher Passagier“ ist? Denn Ziel der Sicherheitskon- 
trolle soll es ja nicht mehr in erster Linie sein, gefährliche 
Gegenstände zu identifizieren. 

Es ist nahe liegend, dass ein umfassendes Profiling des 
Passagiers erfolgt, unter Einbeziehung seines Verhaltens 
am Flughafen. Wesentlich wären nach den Vorstellungen 
der LATA auch die Daten von Fluggesellschaften und der 
Sicherheitsbehörden. 

Viele Punkte bleiben in dem Konzept der lATA allerdings 
offen: Welche Annahmen sollen der Entscheidung 
zugrunde gelegt werden? Wer soll die Bewertungen, Ver- 
mutungen und Fakten für diese neue Art der Risikobe- 
wertung bzw. des „Scoring“ liefern, auswerten und spei- 
chern? Und wer soll letztendlich die Entscheidung 
treffen? Die Artikel-29-Gruppe hat sich dieses wichtigen 
Themas angenommen und ist dabei, genau diese Fragen 
mit der lATA zu diskutieren. 

Ich begegne dieser neuen Grundausrichtung des lATA- 
Modells mit großer Skepsis. Rechtfertigt es das Motiv der 
Kosteneffizienz, jeden Passagier mit allen möglichen 
polizeilichen Datenbanken und zusätzlich noch gegen ab- 
strakte Gefährdungsprofile abzugleichen? Isf es über- 
haupt möglich, jedem Passagier objektiv nachvollziehbar 
ein Risiko zwischen 1 und 5 oder 1 und 10 zuzuschreiben, 
ohne zu diskriminieren und ohne gegen Persönlichkeits- 
rechte zu verstoßen? Wie die lATA angibt, soll die welt- 
weite Umsetzung des Projekts je nach anwendbarem 
Recht unterschiedlich sein. Der Maßstab für das rechtlich 
Zulässige bei der Nutzung von personenbezogenen Daten 
sei schließlich national. Es wird also nicht einen „Check- 
point ofthe Future“ geben, sondern viele. 

Sollten sich die Vorstellungen von der „Sicherheits- 
schleuse der Zukunft“ durchsetzen, wäre die gegenwär- 
tige Gleichbehandlung der Reisenden („one-size-fits-all“) 
passe. Risikoreisende, aber auch nicht registrierte Wenig- 
fiieger, Angehörige bestimmter Ethnien und Altersgrup- 
pen, Bürgerinnen und Bürger bestimmter Staaten, würden 
einer noch intensiveren Kontrolle als heute unterzogen, 
während die kommerziell besonders interessanten Ge- 
schäftskunden und andere Vielreisenden mehr oder min- 
der durchgewunken würden. Ob sich ein solches Szenario 
mit unseren Vorstellungen von Persönlichkeits-, Grund- 
und Menschenrechten vereinbaren ließe, halte ich für 
zweifelhaft. Für fraglich halte ich auch, ob ein solches 
System wirklich zu mehr Sicherheit führen würde, lädt es 
doch mutmaßliche Terroristen geradezu ein, in die wenig 
kontrollierte Gruppe der registrierten Vielflieger einge- 
reiht zu werden. 

Ich werde mich jedenfalls dafür einsefzen, dass die Per- 
sönlichkeitsrechte der Passagiere auch bei der Weiterent- 
wicklung der Sicherheit am Flughafen nicht abstürzen. 

2.5.3.2 Vom Nackt- zum Körperscanner 

Begleitet von einer intensiven öffentlichen Auseinander- 
setzung hatte das Bundesministerium des Innern (BMI) 
Körperscanner für zehn Monate erprobt. Die Geräte wur- 



Drucksache 17/13000 


-42- 


Deutscher Bundestag - 17. Wahlperiode 


den danach als zu fehlemnfällig wieder in die For- 
schungsstelle verbracht. Nun werden Geräte mit aktuali- 
sierter Software eingesetzt. 

Die Erprobung des Körperscanners war ein Schwerpunkt- 
thema in meinem letzten Tätigkeitsbericht (23. TB 
Nr. 7.3.1). Das Bundesministerium des Innern hatte erst- 
mals probeweise einen Körperscanner an einem deut- 
schen Flughafen eingesetzt - und nach einer zehnmonati- 
gen Testphase am Hamburger Flughafen festgestellt, die 
Geräte seien noch zu fehleranfällig. Sie wurden wieder 
zurück in die Forschungsstelle der Bundespolizei ge- 
bracht. 

Für die Passagiere war die Teilnahme an der Erprobung 
freiwillig. Darauf hatte ich Wert gelegt. Die Geräte erfüll- 
ten im Wesentlichen die Voraussetzungen, auf die sich die 
Konferenz der Datenschutzbeauftragten des Bundes und 
der Länder in einer Entschließung geeinigt hatte (abge- 
druckt im 23. TB S. 89). Wichtig ist insbesondere, dass 
die eingesetzten Geräte im Vergleich zu früheren Model- 
len, die in der Presse auch als „Nacktscanner“ bezeichnet 
worden waren, keine Bilder von wirklichen Körpern ge- 
nerierten. Das Bundesministerium des Innern hatte mir 
mitgeteilt, dass es diese Anforderungen teilt. Die moder- 
nen Körperscanner verwenden stattdessen Piktogramme 
(„typisierte Strichmännchen“), auf die ein auffälliger Ge- 
genstand projiziert wird. 

Seit Dezember 2012 werden bei der Sicherheitskontrolle 
wieder Körperscanner eingesetzt, dieses Mal am Frank- 
furter Flughafen. Weiterhin ist dort niemand gezwungen, 
sich vom Körperscanner durchleuchten zu lassen. Zu der 
Sicherheitskontrolle mittels Körperscanners gibt es für je- 
den Passagier weiterhin eine Alternative. Konkrete Er- 
gebnisse oder eigene Kontrollerkenntnisse zu diesen Ge- 
räten habe ich noch nicht. Die Entscheidung, sie wieder 
einzusetzen, wurde kurz vor Redaktionsschluss getroffen. 
Mir ist von der Bundespolizei mitgeteilt worden, es han- 
dele sich der Art nach um denselben Gerätetyp, der auch 
in Hamburg verwendet wurde. Ich werde den Einsatz der 
Geräte weiterhin kritisch begleiten und die Einhaltung der 
datenschutzrechtlichen Voraussetzungen konzeptionell 
und vor Ort überprüfen. 

2. 5.3.3 Die Zukunft der biometrischen 
Grenzkontroiie 

Das Bundesministerium des Innern (BMI) will die beste- 
henden Projekte zur biometrischen Grenzkontrolle zu- 
sammenfassen. 

Das BMI hat Pläne zur Fortentwicklung der biometri- 
schen Grenzkontrollen auf deutschen Flughäfen. Eine Zu- 
sammenführung der bisherigen Projekfe scheint auch mir 
geboten. Gegenwärtig werden am Flughafen Frankfurt 
zwei parallele biometrische Erkennungsverfahren betrie- 
ben. 

Im Rahmen der „automatisierten biometriegestützten Ge- 
sichtserkennung (ABG)“ identifizieren sich freiwillig re- 
gistrierte Reisende („registered travellers“) bei der Ein- 
reise durch einen Abgleich der Iris. Dafür werden die Iris 
gescannt und die Übereinstimmung mit einem lokal und 


mit Einverständnis des Betroffenen gespeicherten Bild 
der Iris festgestellt (vgl. 22. TB Nr. 4.5.2 und 23. TB 
Nr. 3.5). EU-Bürger mit biometrischen Reisedokumenten 
können sich im Rahmen des Projektes „Easy Pass“ an be- 
stimmten Kontrollschleusen auch für eine automatisierfe 
Konfrolle entscheiden, bei der ein Abgleich der Gesichts- 
felder erfolgt. Der Abgleich erfolgt über die im Pass ge- 
speicherten biometrischen Daten, so dass eine zusätzliche 
lokale Speicherung nicht erforderlich ist (vgl. 22. TB Nr. 

6.4 und 23. TB Nr. 3.5). 

Die technischen Anforderungen zur Datensicherheit wa- 
ren in beiden Projekten im Wesentlichen erfüllt. 

Bedenken hatte ich allerdings in rechtlicher Hinsicht. Der 
Irisabgleich ist durch Entscheidungen des Gesetzgebers 
überholt, bei amtlichen Ausweisdokumenten den Finger- 
abdruck und das Gesichtsbild als die zulässigen Formen 
der biometrischen Identifikation zu verwenden. Zudem 
legt der Schengener Grenzkodex (SGK) europaweit fest, 
wie die Mitgliedstaaten Grenzkontrollen an den Außen- 
grenzen des Schengenraumes durchzuführen haben. Bei 
Flügen in den Schengenraum findet diese Grenzkontrolle 
am Frankfurter Flughafen statt. Wie der SGK in Artikel 7 
Absatz 2 vorschreibt, dürfen die Bürgerinnen und Bürger 
der EU bei der Einreise in den Schengenraum keiner sys- 
tematischen Datenbankabfrage unterworfen werden. Die 
Kontrollschleusen sind aber in beiden Systemen tech- 
nisch so eingestellt, dass sie jeden die Schleuse passieren- 
den Reisenden einer Vollabfrage unterziehen. Diese 
Praxis hielt ich für unvereinbar mit der Vorgabe der nicht- 
systematischen Abfrage gemäß SGK. 

Meine Anmerkungen hat das BMI bei Fortentwicklung 
der biometrischen Grenzkontrollen aufgenommen. Es hat 
angekündigt, beide Projekte mit ihren unterschiedlichen 
Zwecksetzungen unter dem EasyPass-RTP (Registered 
Traveller Programme) zusammenzuführen und dabei auf 
den Irisabgleich zu verzichten. Vorgesehen ist, die Easy- 
Pass-Kontrollschleusen zum Ende des Jahres 2013 auf 
den fünf passagierstärksfen Flughäfen auszurollen. Ein 
weiteres Jahr später soll die Funktionalität der Schleusen 
so ergänzt werden, dass auch Drittstaatler mithilfe einer 
automatisierten Grenzkontrolle einreisen können, sofern 
sie sich zuvor einer Sicherheitsüberprüfung unterzogen 
und sich haben registrieren lassen. Darm können durch 
ein und dieselbe automatisierte Schleuse sowohl die EU- 
Bürger als auch die registrierten Drittstaatsangehörigen 
gehen. Um der Regelung des Artikels 7 Absatz 2 SGK 
zukünftig Rechnung zu tragen, werden die EasyPass- 
Kontrollschleusen mit einem Zufallsgenerator ausgestat- 
tet. 

Die Ankündigungen aus dem BMI begrüße ich. Den Fort- 
gang des Projekts werde ich weiterhin kritisch begleiten. 

2.5.3.4 Nicht besonders intelligent: „smart 
borders“ 

Die Europäische Kommission plant unter dem Schlag- 
wort der ,, intelligenten Grenzen“ die Errichtung eines 
Einreise-ZAusreiseregisters und will die Programme für 
,, registrierte Reisende “ stärken. Besonders kritisch sehe 
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ich das geplante Register, mit dem alle Grenzübertritte 
von Drittstaatsangehörigen erfasst werden sollen. 

Die Europäische Kommission sagt, die Außengrenzen der 
Europäischen Union sollten „intelligenter“ werden. Die 
groben Linien dafür hat sie in einer Mitteilung aus dem 
Oktober 2011 skizziert. Intelligente Grenzen bedeuten 
danach, die Ein- und Ausreise aller Nicht-EU-Bürger 
elektronisch zu erfassen und die Einreise für Drittstaats- 
angehörige zu erleichtern, wenn sie sich zuvor überprüfen 
und registrieren lassen. Allerdings sollen Drittstaatsange- 
hörige nicht verpflichtet werden, sich vor der Einreise an- 
zumelden, so wie man es aus den USA kennt (Electronic 
System for Travel Authorization - ESTA). 

Besonders kritisch betrachte ich das Kernstück der Über- 
legungen: die Errichtung eines sog. Einreise-/ Ausreise- 
Registers (entry/exit). Dahinter verbirgt sich eine riesige 
Datei, in der jeder Grenzübertritt von allen Drittstaats- 
angehörigen unabhängig davon gespeichert werden soll, 
ob sie zur Einreise ein Visum brauchen. Begründet wird 
dies damit, die Grenzübertritte so effektiver kontrollieren 
zu können. Auch gäbe es gegenwärtig keine verlässlichen 
Daten über die Anzahl von sog. overstayers, also solcher 
Einreisenden, die länger als erlaubt in der EU bleiben. 
Dies sei erheblich, weil „overstayer“ das Hauptproblem 
der irregulären Zuwanderung in der EU seien. 

Ich habe schon Zweifel, ob es überhaupt mit verhältnis- 
mäßigem Aufwand machbar ist, angesichts der vielen 
Land- und Seegrenzen in Europa ein solches System auf- 
zubauen und zu verwalten. Die USA mit ihren geogra- 
fisch bedingt weitaus einfacher zu kontrollierenden Au- 
ßengrenzen haben bereits vor Jahren mit dem Aufbau 
eines solchen Systems begonnen - bisher ohne durch- 
schlagenden Erfolg. Unabhängig von der Machbarkeit ei- 
nes solchen Systems ist mir auch nicht ersichtlich, wie die 
Erforderlichkeit und Verhältnismäßigkeit einer Daten- 
bank diesen Ausmaßes begründet werden kann. Denn ge- 
rade im Hinblick auf die sog. overstayer ist schon nicht 
klar, welchen konkreten Beitrag das System erbringen 
könnte. Die bloße Erlangung genauerer Zahlen zur irre- 
gulären Einwanderung könnte die Maßnahme jedenfalls 
nicht begründen. 

Der zweite Baustein neben dem Einreise-/ Ausreiseregis- 
ter stellt das Registrierungsprogramm für Vielreisende 
dar („Registered Traveller Programme“ - RTP). Aus 
Sicht der Kommission wäre es nicht sinnvoll, sämtliche 
Drittstaatsangehörige, die in den Schengen-Raum einrei- 
sen, ein und derselben Kontrolle zu unterwerfen. Diesen 
vielreisenden Drittstaatsangehörigen würde der Grenzüber- 
tritt erleichtert, wenn sie sich zuvor einer Sicherheitsüber- 
prüfung unterzogen haben und sich registrieren lassen. An 
dieser Stelle ergibt sich der konkrete Berührungspunkt 
mit dem „Checkpoint of the Future“ (vgl. Nr. 2.5.3. 1) und 
den Plänen aus dem Bundesinnenministerium zum Easy- 
Pass-RTP (vgl. Nr. 2.5.3.3). 

Nach den bisherigen Überlegungen sollen beide Systeme 
biometrische Identifizierungen vorsehen. Es bleibt auch 
insofern abzuwarten, was die Gesetzentwürfe hierzu kon- 
kret sagen werden und wie dabei den datenschutzrechtli- 


chen Anforderungen - insbesondere im Hinblick auf die 
Vermeidung exzessiver Vorratsdatenspeicherungen - 
Rechnung getragen werden kann. 

Abschließend erlaube ich mir die ketzerische Frage, ob es 
denn wirklich intelligent ist, auf alle möglichen Sicher- 
heitsgefährdungen nur eine Antwort zu finden: Zusätzli- 
che Datenspeicherung, umfassende Registrierung und 
Rasterung auf Vorrat. 

2.5.4 Datenschutzentwicklungen in den USA 

Ein von der US-Regierung vorgelegtes Grundlagenpapier 
enthält eine ,, Consumer Privacy Bill of Rights“. Die 
Federal Trade Commission (ETC) veröffentlichte einen 
Bericht mit Empfehlungen zum Daten- und Verbraucher- 
schutz in einer vernetzten Welt. Verbindliche Daten- 
schutzregeln für den nicht-öffentlichen Bereich fehlen in 
den USA aber leider immer noch weitgehend. 

Im Februar 2012 - fast zeitgleich mit den Vorschlägen 
der EU-Kommission zur EU-Datenschutzreform (vgl. 
Nr. 1) - legte die US-Regierung ein Weißbuch mit dem 
Titel „Consumer Data Privacy in a Networked World: A 
Framework of Protecting Privacy and Promoting Innova- 
tion in the Global Digital Economy” vor. Das Papier ent- 
hält eine Zusammenfassung von Verbraucherrechten in 
der digitalen Welt („Consumer Privacy Bill of Rights“) 
mit sieben grundlegenden Anforderungen an die Verar- 
beitung personenbezogener Daten: Transparenz, Informa- 
tion, Zweckbindung, Erforderlichkeitsgrundsatz/Daten- 
sparsamkeit, Betroffenenrechte, Verantwortlichkeit und 
Datensicherheit. Die Consumer Privacy Bill of Rights 
soll - so die Ankündigung der Obama-Administration - 
vom Kongress möglichst mit einer gesetzlichen Regelung 
umgesetzt werden. Allerdings sind seit der Vorlage keine 
entsprechenden Aktivitäten bekannt geworden, weder aus 
dem US-Senat noch aus dem Repräsentantenhaus. Auch 
die an den Kongress gerichtete Forderung im Weißbuch, 
die Befugnisse der FTC zur Durchsetzung der Verhaltens- 
regeln zu erweitern, ist bisher nicht umgesetzt. 

Der Entwurf setzt ganz wesentlich auf Selbstregulierung 
und verzichtet auf verbindliche Datenschutzregeln, wie 
sie etwa im EU-Datenschutzrecht vorgesehen sind und 
nach den Kommissionsvorschlägen auch erhalten bleiben 
sollen (vgl. Nr. 1.1). In diesem Sinne schlägt die US-Re- 
gierung vor, dass im Rahmen von „Multi-Stakeholder“- 
Verfahren in den verschiedenen Sektoren Verhaltensre- 
geln erarbeitet werden, die die in der Consumer Privacy 
Bill of Rights gewährten Rechte konkretisieren. Bei der 
Erarbeitung der rechtsverbindlicher Verhaltensregeln sol- 
len auch internationale Partner wie u. a. die Europäische 
Union eingebunden werden. Der Safe-Harbor-Rechtsrah- 
men könnte so möglicherweise künftig durch konkretere 
Verhaltensregeln ergänzt werden. 

Die FTC hat 2012 den Bericht „Protecting Consumer Pri- 
vacy in an era of rapid change“ veröffentlicht. Darin emp- 
fiehlt sie den Unternehmen best practice-Lösungen zu er- 
arbeiten und einzusetzen. Solche Lösungen sind u. a. 
privacy by default und privacy by design. Weiterhin ge- 
hört dazu, Verbrauchern verstärkte Kontrolle über ihre 
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Daten einzuräumen, beispielsweise durch vereinfachte 
Wahlmöglichkeiten und größere Transparenz. 

Besonderen Handlungsbedarf sieht die FTC in folgenden 
Bereichen: 

- do not track (Integration im Web-Browser) 

- mobile Services (bessere Information der Verbraucher) 

- data brokers (höhere Transparenz bezüglich deren Da- 
tenverarbeitung) 

- large platform providers (Gefahr der umfassenden Be- 
obachtung) 

- sector specific enforceable seif regulatory codes, die 
vom Departement of Commerce mit Industrievertre- 
tem entwickelt werden sollen. Dies dient der Umset- 
zung des Weißbuchs der US-Regierung (s. o.). 

Auch hier wurde der Kongress aufgefordert, durch klare 
gesetzliche Regeln für Unternehmen sicherzustellen, dass 
die Anwendung von datenschutzrelevanten Lösungen 
nicht zu wirtschaftlichen Nachteilen führt. Gefordert wur- 
den auch Regelungen zur Datensicherheit und Daten- 
verlusten sowie angemessene Auskunftsrechte für die 
Betroffenen. Ich gehe davon aus, dass die FTC ihre Ziele 
weiterverfolgen wird, auch wenn eine entsprechende 
Kongressbefassung noch aussteht. 

Meine durch mehrere Besuche und Gegenbesuche in den 
Jahren 2011 und 2012 erlangten guten Kontakte zur FTC 
werde ich auch künftig vertiefen. Allerdings wäre es 
wünschenswert, wenn auf US-Seite über durchaus beden- 
kenswerte Vorschläge und Ankündigungen hinaus auch 
verbindliche Datenschutzregeln beschlossen würden, die 
dem in Europa bereits seit langem gewährleisteten 
Schutzniveau entsprechen. Dies wäre nicht nur im Sinne 
der Bürgerinnen und Bürger beiderseits des Atlantiks, 
sondern würde auch den transatlantischen Informations- 
und Datenaustausch, etwa im Rahmen von Cloud-Diens- 
ten (vgl. Nr. 5.3), fordern. 

2.5.5 Foreign Account Tax Compliance Act - 
FATCA 

Zur Umsetzung von FATCA haben EU-Mitgliedstaaten, 
darunter Deutschland, ein Musterabkommen mit den 
USA erarbeitet. Dabei geht es auch um Datenschutz. 

Die Umsetzung von FATCA (vgl. Kasten zu Nr. 2.5.5) hat 
erhebliche datenschutzrechtliche Probleme aufgeworfen. 
So stellte sich die Frage, ob die Datenübermittlung an die 
US-Steuerbehörde auf der Grundlage von §§ 4b und 4c 
BDSG oder auf Basis einer Einwilligung zulässig ist. 
Klärung sollen bilaterale Abkommen bieten, auf deren In- 
halt sich fünf EU-Mitgliedsfaaten (Frankreich, Italien, 
Spanien, Vereinigtes Königreich und Deutschland) mit 
den USA verständigt haben. Ein entsprechendes Muster- 
abkommen wurde am 26. Juli 2012 vorgestellt. Dabei 
verpflichten sich die fünf Staaten, von den in ihrem Ge- 
biet ansässigen Finanzinstituten die Informationen über 


für US-Kunden geführte Konten zu erheben und der US- 
Behörde zur Verfügung zu sfellen. Im Gegenzug ver- 
pflichten sich die USA, alle Finanzinstitute des jeweili- 
gen Vertragspartners von der Pflicht auszunehmen, mit 
der US-Steuerbehörde Vereinbarungen abzuschließen, um 
in den USA Quellensteuereinbehalte unter FATCA zu 
vermeiden. 

Dieses Musterabkommen schafft einen Rahmen für die 
Meldung bestimmter Kontodaten durch die Finanzinsti- 
tute an ihre jeweiligen Steuerbehörden mit anschließen- 
dem Austausch der betreffenden Daten im Rahmen der 
bestehenden bilateralen Doppelbesteuerungsabkommen. 
Derzeit bereitet das Bundesministerium der Finanzen 
(BMF) das bilaterale Abkommen zwischen Deutschland 
und den USA vor. Weiterhin wird eine nationale Rechts- 
grundlage für den Transfer der Daten von den Finanz- 
instituten an die nationalen Finanzbehörden erarbeitet. 
Ich war von Beginn an durch das BMF in das Verfahren 
eingebunden und habe mich für die Einhaltung eines an- 
gemessenen Datenschutzniveaus eingesetzt. 

Auch die Artikel-29-Gruppe der Europäischen Daten- 
schutzbeauflragten hat sich mit dem Thema befasst. Ihr 
Vorsitzender hat in einem Schreiben vom 21. Juni 2012 
die Generaldirektion Steuern und Zollunion (TAXUD) 
der Europäischen Kommission auf die datenschutzrechtli- 
chen Problemstellungen von FATCA hingewiesen. 

Nach derzeitigem Verhandlungsstand soll im Abkommen 
selbst eine Zweckbindungsregelung verankert werden. 
Entgegen meinen Vorstellungen sollen aber die verfah- 
rensrechtlichen Sicherungen sowie die technischen und 
organisatorischen Maßnahmen zur Datensicherheit in ei- 
ner bloßen Durchführungsvereinbarung zum Abkommen 
geregelt und damit nicht unmittelbar Vertragsinhalt wer- 
den. 

Kasten zu Nr. 2.5.5 


Foreign Account Tax Compliance Act - FATCA 

Der Foreign Account Tax Compliance Act „FATCA“ ist 
ein im März 2010 in Kraft getretenes US-Gesetz zur Er- 
fassung von Vermögenswerten von in den USA steuer- 
pflichtigen Personen und Gesellschaften auf Konten im 
(US-)Ausland. 

Kern von FATCA sind erweiterte Melde- und Berichts- 
pfiichten von Banken und sonstigen Finanzinstituten im 
Ausland (Foreign Financial Institutions - FFls) gegen- 
über der amerikanischen Steuerbehörde (Internal Reve- 
nue Service - IRS). Zur Aufklärung von Steuerdelikten 
müssen steuerlich relevante Informationen über US-Per- 
sonen weitergegeben werden. Neben Einlagenkonten, 
Depots und Beteiligungen bei Banken, die bereits durch 
die sogenannten Ql-Abkommen erfasst werden, sind 
u. a. auch Fondsgesellschaften und bestimmte Versiche- 
rungsverträge wie Renten- und Kapitallebensversiche- 
rungen betroffen. 
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Durch FATCA müssen alle FFIs auf Basis einer vertrag- 
lichen Regelung mit der amerikanischen Steuerbehörde 
die Konten ihrer Geschäftspartner auf eine potentielle 
Steuerpflicht in den USA hin überprüfen und mit Ein- 
verständnis des US-Kunden regelmäßig detaillierte 
Meldungen bzgl. der steuerpflichtig kategorisierten 
Konten und Zahlungen an die IRS übermitteln. Zu den 
betreffenden Daten gehören unter anderem Namen, 
Adressen und US-Steuemummem der betreffenden 
Kunden sowie Transaktionsdaten und Salden ihrer Kon- 
ten. Die US-Kunden müssen diesem Eingriff in das 
Bankgeheimnis ausdrücklich zustimmen und zugunsten 
der US-Behörden umfassend auf das Bankgeheimnis 
verzichten. Tun sie dies nicht, müssen die betreffenden 
Finanzintermediäre ihre Geschäftsbeziehungen zu die- 
sen Kunden beenden. Zu den Betroffenen zählen nicht 
nur in Deutschland lebende US-Bürger, sondern auch 
europäische Bürger, wenn sie in den USA steuerpflich- 
tig sind. 

Die Nichtteilnahme eines FFls ahndet das IRS mit ei- 
nem Einbehalt (Quellenbesteuerung) in Höhe von 
30 Prozent auf alle Zahlungen an das FFl, die auf einen 
US- Vermögenswert zurückzuführen sind. FATCA stellt 
die FFls somit weltweit vor die Wahl, entweder perso- 
nenbezogene Daten von US-Kunden den US-Behörden 
zugänglich zu machen oder aber einen Quellensteuerab- 
zug auf die US- Wertpapiererträge in Kauf zu nehmen. 


3 Grundsatzangelegenheiten 

3.1 Unabhängigkeit der Datenschutz- 

behörden 

Das Urteil des Europäischen Gerichtshofs (EuGH) vom 
16. Oktober 2012 zur mangelnden Unabhängigkeit der 
österreichischen Datenschutzkommission ist weitgehend 
auf meine Rechtsstellung übertragbar. 

Bereits im Jahr 2010 hatte der EuGH in einem Vertrags- 
verletzungsverfahren entschieden, dass die Organisation 
der deutschen Datenschutzaufsichtsbehörden im nicht-öf- 
fentlichen Bereich auf Landesebene nicht den in der EG- 
Datenschutzrichtlinie 95/46 festgelegten Anforderungen 
an eine „völlige Unabhängigkeit“ genügt (Urteil vom 
9. März 2010, C-518/07 - vgl. 23. TB Nr. 2.1). Die unab- 
hängige Stellung der Datenschutzbehörden solle gewähr- 
leisten, dass diese ihre Aufgaben frei von äußerer 
Einflussnahme wahmehmen könnten. Jegliche Form poli- 
tischer oder institutioneller Einflussnahme, etwa in Form 
einer staatlichen Aufsicht, oder auch nur der Anschein 
staatlicher Beeinflussung sei hiermit unvereinbar. Inzwi- 
schen haben die Länder die Rechtsstellung ihrer Daten- 
schutzaufsichtsbehörden für den nicht-öffentlichen Be- 
reich an die Vorgaben des EuGH angepasst. 

Im öffentlichen Bereich kommt es sogar in noch viel stär- 
kerem Maße als bei der Datenschutzkontrolle über die 
Wirtschaft darauf an, dass die Exekutive keinerlei Ein- 
fluss auf die Aufgabenwahmehmung der Kontrollbehörde 


nehmen kann, da sie ihrerseits durch diese überwacht 
wird. Das BMI hat bislang allerdings keine Konsequen- 
zen aus diesem Urteil gezogen. 

Mit Urteil vom 16. Oktober 2012 (C-614/10) hat der 
EuGH seine Rechtsprechung zu den Anforderungen an 
die „völlige Unabhängigkeit“ der Datenschutzbehörden 
bestätigt und erstmals auf den öffentlichen Bereich ausge- 
dehnt. Gegenstand des von der Europäischen Kommis- 
sion eingeleiteten Vertragsverletzungsverfahrens war die 
Rechtsstellung der österreichischen Datenschutzkommis- 
sion (DSK), die in Österreich sowohl die Datenschutz- 
kontrolle im öffentlichen als auch im nicht-öffentlichen 
Bereich wahmimmt. Die Bundesrepublik Deutschland ist 
dem Verfahren als Streithelferin zur Unterstützung Öster- 
reichs beigetreten. 

Es überrascht nicht, dass der EuGH in dem Verfahren ge- 
gen die Republik Österreich erneut betont, die europa- 
rechtlich geforderte völlige Unabhängigkeit der Daten- 
schutzbehörden sei umfassend zu verstehen. Völlige 
Unabhängigkeit bedeute nicht nur den Ausschluss unmit- 
telbarer Einflussnahme in Form von Weisungen, sondern 
auch jeder Form mittelbarer Einflussnahme staatlicher 
Stellen, die zur Steuerung der Entscheidungen der Daten- 
schutzbehörde geeignet sei. Hiermit nicht zu vereinbaren 
sei u. a., dass das geschäftsführende Mitglied der österrei- 
chischen DSK ein der Dienstaufsicht unterliegender Bun- 
desbeamter sei. Es könne nicht ausgeschlossen werden, 
dass das geschäftsführende Mitglied der DSK sich bei 
seinen Entscheidungen durch die die Dienstaufsicht füh- 
rende Bundesbehörde beeinflussen lasse. Weiterhin mo- 
nierte der EuGH die organisatorische Eingliederung der 
DSK in das Bundeskanzleramt, welches nach österreichi- 
schem Recht die Sach- und Personalausstattung der DSK 
bereitstellt. Dass die Geschäftsstelle der DSK aus Beam- 
ten besteht, die dienst- und besoldungsrechtlich dem Bun- 
deskanzleramt zugeordnet sind und daher auch dessen 
Dienstaufsicht unterliegen, berge die Gefahr der Beein- 
flussung der DSK-Entscheidungen. Das Bundeskanzler- 
amt werde schließlich selbst durch die DSK kontrolliert. 

Auch wenn aus dem Beitritt der Bundesrepublik Deutsch- 
land als Streithelferin zur Unterstützung Österreichs 
keine unmittelbare Rechtswirkung für Deutschland aus- 
geht, entfaltet das Urteil eine deutliche Signalwirkung. 
Die durch das BDSG vorgegebene Rechtsstellung des 
BfDl ist der vom EuGH beanstandeten Rechtslage in Ös- 
terreich in vielfacher Hinsicht vergleichbar: Der BfDl un- 
tersteht der Rechtsaufsicht der Bundesregierung und der 
Dienstaufsicht des BML Organisatorisch ist er zudem 
beim BMI eingerichtet. Die Mitarbeiter des BfDl sind 
Bedienstete des BMI, das über Stellenbesetzungen und 
Beförderungen mitenfscheidet und die Diensfaufsicht 
über die Mifarbeiter des BfDl ausübt. 

Die Bundesrepublik Deutschland sollte sich eine dritte 
Lektion aus Luxemburg ersparen und die Rechtsstellung 
des BfDl dem Erfordernis völliger Unabhängigkeit an- 
passen. Solange dies noch nicht geschehen ist, müssen die 
bestehenden Rechtsvorschriften im Sinne der europa- 
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rechtlich geforderten völligen Unabhängigkeit ausgelegt 
werden. Ich bin mit dem Bundesministerium des Innern 
über diese Frage im Gespräch. 

3.2 Die Verwaltung wird elektronisch 

Die Digitalisierung macht um die öffentliche Verwaltung 
keinen Bogen. Der hierfür vorgesehene Rechtsrahmen 
muss den Datenschutz garantieren und zugleich die 
Transparenz von Verwaltungshandeln verbessern. 

3.2.1 Die E-Akte - Das Ende der 
Übersichtlichkeit 

Die elektronische Aktenführung wirft einige datenschutz- 
rechtliche Fragen auf die sich nicht einfach beantworten 
lassen. 

Der Übergang zur elektronischen Aktenführung ist im 
vollen Gange. Einige Behörden haben ihre Aktenführung 
bereits auf eine elektronische Form umgestellt, in vielen 
Bereichen wird an entsprechenden Vorhaben gearbeitet. 
Allein in diesem Bericht beschäftige ich mich mit ver- 
schiedenen Fragestellungen im Zusammenhang mit der 
elektronischen Aktenführung: 

- Elektronische Kriminalakte bei der Bundespolizei 
(vgl. Nr. 7.6.1) 

- E-Akten beim Bundesamt für Verfassungsschutz und 
beim BND (vgl. Nr. 7.7.3) 

- E-Akten und elektronischer Postverkehr bei der Bun- 
desagentur für Arbeit (vgl. Nr. 12.2.1) 

- Automatisierte Personalakte (vgl. Nr. 13.3) 

Nicht nur im E-Govemment-Gesetz (vgl. Nr. 3.2.3), son- 
dern auch in einzelnen Verwaltungsbereichen sollen spe- 
zialgesetzliche Rahmenbedingungen für die Einführung 
elektronischer Akten geschaffen werden, z. B. im Sicher- 
heitsüberprüfungsgesetz (vgl. Nr. 7.8.1), durch den Ent- 
wurf eines Gesetzes zur Förderung des elektronischen 
Rechtsverkehrs mit den Gerichten (vgl. Nr. 8.13) oder 
den Entwurf eines Gesetzes zur Einführung der elektroni- 
schen Akte in Strafsachen. 

Sofern in den Akten personenbezogene Daten gespeichert 
werden, führt die elektronische Aktenhaltung im Ver- 
gleich zur klassischen Papierakte zu erheblich höheren 
Risiken für den Datenschutz. Denn Daten in elektroni- 
schen Akten können leichter ausgewertet, mit anderen 
Daten zusammengeführt oder verändert werden als dies 
in Papierakten möglich ist. Deshalb bedarf es bei der Ein- 
führung von elektronischen Akten deutlich höherer An- 
forderungen an die technischen und organisatorischen 
Maßnahmen zum Datenschutz, die jedoch grundsätzlich 
mit den in § 9 BDSG und der dazugehörenden Anlage ge- 
nannten Instrumenten abgedeckt werden können. 

Darüber hinaus verschwimmt mit der elektronischen Ak- 
tenführung die hergebrachte Aufteilung behördlicher Da- 
tenverarbeitung in (Papier-)Akten und elektronisch er- 


schließbare Dateien: Während die Akte in klassischer 
Weise dazu dient, das behördliche Vorgehen zu dokumen- 
tieren und die jeweiligen Einzelfälle zu bearbeiten, ist es 
der Sinn (in der Regel automatisierter) Dateisysteme, Da- 
ten strukturiert und aktenübergreifend vorzuhalten, um 
sie besser auswerten und mit anderen Daten verknüpfen 
zu können. Vor allem das bereichsspezifische Daten- 
schutzrecht knüpft an die Verarbeitung personenbezoge- 
ner Daten in Akten einerseits und die dateimäßige Verar- 
beitung andererseits auch unterschiedliche materiell- 
rechtliche Anforderungen (vgl. Nr. 7.7.3 für den Bereich 
der Nachrichtendiensfe). 

Die elektronische Aktenführung wird in der Regel durch 
Dokumentenmanagementsysfeme (DMS) unferstüfzf, die 
das Auffinden und Bearbeiten einzelner Vorgänge oder 
Dokumente im Vergleich zur klassischen Papierakte deut- 
lich erleichtern. Je nach Ausgestaltung enthalten bereits 
die im DMS gespeicherten Metadaten personenbezogene 
Daten, nach denen im System recherchiert werden kann, 
ln diesem Falle handelt es sich bei dem DMS um eine au- 
tomatisierte Verarbeitung im Sinne von § 3 Absatz 2 
BDSG, was entsprechende Konsequenzen etwa für die zu 
treffenden technischen und organisatorischen Maßnah- 
men nach der Anlage zu § 9 BDSG hat. Das gleiche gilt 
grundsätzlich auch dann, wenn die in den Dokumenten 
der elektronischen Akte enthaltenen personenbezogenen 
Daten recherchierbar und auswertbar gespeichert sind, sei 
es, weil es sich um originär elektronische Dokumente 
handelt oder um eingescannte Dokumente, die mit einer 
OCR-Software ausgewertet werden können. 

Weil das Führen elektronischer Akten in der Regel als au- 
tomatisierte Verarbeitung anzusehen ist, bedarf es ent- 
sprechender Schutzmaßnahmen. Auch bei der elektroni- 
schen Aktenführung muss gewährleisfef sein, dass die 
gespeicherten personenbezogenen Daten nicht schranken- 
los ausgewertet oder aktenübergreifend miteinander ver- 
knüpft werden können. Hierzu bedarf es technischer Lö- 
sungen, indem etwa Datenformate gewählt werden, die 
eine Auswertbarkeit verhindern oder erschweren. Bei der 
Konzeption von DMS ist darauf zu achten, dass im Hin- 
blick auf die Metadaten das Prinzip der Datenvermeidung 
und Datensparsamkeit beachtet wird und durch entspre- 
chende Zugriffs- und Abschottungsmechanismen keine 
unzulässigen Zugriffe oder Verknüpfungen stattfinden. 
Die technischen und organisatorischen Vorgaben sind 
durch rechtliche Rahmenbedingungen etwa zur Gewähr- 
leistung der Zweckbindung zu flankieren. 

3.2.2 Die gescannte Akte - Projekt 
RESISCAN 

Für das rechtssichere Einscannen von Papierdokumenten 
liegt inzwischen der Entwurf der Technischen Richtlinie 
vor. 

Das Führen elektronischer Akten erfordert regelmäßig die 
Digitalisierung von Papierdokumenten, die die Behörden 
von Bürgerinnen und Bürgern, Unternehmen und sonsti- 
gen Dritten erhalten. Nachhaltige Effektivitätsgewinne 
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lassen sich nur erzielen, wenn diese Papierdokumente 
eingescannt und die Originale vernichtet werden können 
(„ersetzendes Scannen“). 

Das E-Govemment-Gesetz (EGovG, vgl. Nr. 3.2.3) soll 
die rechtlichen Voraussetzungen fiir die Verwendung ein- 
gescannter Dokumente im Rechtsverkehr schaffen. Die 
entsprechende Vorschrift (§ 7 EGovG-E) fordert die bild- 
liche und inhaltliche Übereinstimmung von Papierorigi- 
nal und elektronischer Kopie, wobei die verwendeten 
Verfahren dem Stand der Technik entsprechen müssen. 

Die für die praktische Umsetzung festzulegenden techni- 
schen Einzelheiten sollen Bestandteil einer Technischen 
Richtlinie (TRRESISCAN) sein, an deren Entwicklung 
das Bundesamt für die Sicherheit in der Informationstech- 
nik (BSl) - unter meiner Mitwirkung - zurzeit arbeitet. 
Die TR RESISCAN soll nicht die Prüfung der Zulässig- 
keit des Scannens an sich ersetzen, die sich aus anderen 
Rechtsvorschriften, etwa dem EGovG, ergeben muss. Bei 
der Festlegung des Schutzbedarfs und der darauf basie- 
renden technischen Anforderungen orientiert sich die 
TR RESISCAN an der Systematik des IT-Grundschutzes. 
Die Beratungen standen bei Redaktionsschluss kurz vor 
dem Abschluss. Ich rechne mit der baldigen Veröffentli- 
chung im Bundesanzeiger. 

Bei der Ausarbeitung eines zusätzlichen erläuternden Do- 
kuments, des „rechtlichen Anhangs“, wurde diskutiert, 
inwieweit das Scannen aus datenschutzrechtlicher Sicht 
einen eigenständigen Vorgang des Verarbeitens oder Nut- 
zens personenbezogener Daten darstellt, der einer Rechts- 
grundlage bedarf Diese Frage verliert allerdings dann an 
Relevanz, wenn das EGovG verabschiedet wird, da dann 
eine Rechtsvorschrift existiert. Für spezielle Bereiche, 
beispielsweise für Personalakten (vgl. Nr. 13.2), bestehen 
ohnehin spezifische Vorschriften. 

3.2.3 Ein Gesetz für das E-Government 

Mit dem E-Govemment-Gesetz soll die Verwaltung inter- 
nettauglich werden. Zugleich sollen die Voraussetzungen 
zur elektronischen Aktenfühmng geschaffen werden - das 
wirft einige datenschutzrechtliche Fragen auf die sich 
nicht einfach beantworten lassen. 

Die Bundesregierung hat am 19. September 2012 den 
Entwurf eines Gesetzes zur Förderung der elektronischen 
Verwaltung und zur Änderung weiterer Vorschriften be- 
schlossen und dem Bundesrat zugeleitet. Bei Redaktions- 
schluss befand sich der Gesetzentwurf in den parlamenta- 
rischen Beratungen des Deutschen Bundestages. An der 
vorausgegangenen Ressortabstimmung habe ich mich in- 
tensiv beteiligt. 

Der Entwurf besteht aus zwei Teilen: Artikel 1 enthält das 
eigentliche E-Govemment-Gesetz (EGovG), in den wei- 
teren Artikeln wird eine Vielzahl von Bundesgesetzen ge- 
ändert und an die elektronische Verwaltung angepasst. 

Die Mehrzahl der Regelungen betrifft Fragen der Verwal- 
tungsorganisation sowie der Rechtsverbindlichkeit elek- 


tronischen Handelns von Verwaltung und Bürgern. 
Gleichwohl wirken sich die Vorschriften auf Belange von 
Datenschutz und Datensicherheit aus. Nicht zuletzt ergibt 
sich durch - allerdings nur zaghafte - Ansätze zu Open 
Government und Open Data auch eine Verzahnung mit 
dem freien Zugang zu Informationen der öffentlichen 
Verwaltung (vgl. meinen 3. TB zur Informationsfreiheit 
Nr. 2.4). 

Nach der zentralen Vorgabe des Gesetzentwurfs sollen 
die Behörden ihre Aktenfühmng in den kommenden Jah- 
ren gmndsätzlich auf eine (ausschließlich) elektronische 
Form umstellen (vgl. Nr. 3.2.1) 

Gemeinsame Verfahren 

Auf meine Anregung wurde in § 1 1 EGovG-E eine daten- 
schutzrechtliche Vorschrift zu gemeinsamen Verfahren 
aufgenommen. Der Text dieser Vorschrift geht auf eine 
Musterregelung zu gemeinsamen Verfahren zurück, die 
der Arbeitskreis Verwaltungsmodemisiemng der Daten- 
schutzbeauftragten des Bundes und der Länder entwickelt 
hat. 

Ziel ist es, die gemeinsame Verarbeitung und Nutzung 
personenbezogener Daten durch verschiedene Behörden 
in einem einheitlichen Datenbestand zu erleichtern, ohne 
das Datenschutzniveau abzusenken. 

Die Vorschrift soll vor allem Konstellationen erfassen, 
bei denen 

- die beteiligten Stellen nicht bereits von vornherein fest- 
stehen und deshalb nicht gemeinsam bestimmen kön- 
nen, wem die Federfühmng obliegen soll (z. B. bei dem 
intemetbasierten Online-Genehmigungsverfahren für 
Großraum- und Schwertransporte - Verfahrensmanage- 
ment Großraum- und Schwertransporte - VEMAGS) 
oder 

- öffentliche und nicht-öffentliche Stellen beteiligt sind 
(z. B. VEMAGS, medizinische Fallakten), für die be- 
teiligten Stellen unterschiedliches Datenschutzrecht 
gilt und eine Mitentscheidung über das Verfahren und 
Weiterentwicklungen faktisch nicht möglich ist (z. B. 
medizinische Fallakten). 

Georeferenzierung von Registern 

Weiterhin gibt das EGovG vor, dass standortbezogene 
Register mit einer einheitlichen standardisierten Georefe- 
renzierung zu versehen sind. Betrachtet man jeweils die 
einzelnen Register, ist es datenschutzrechtlich von eher 
geringer Relevanz, wenn eine Variante der Georeferen- 
zierung durch eine andere ersetzt wird. Durch die mit der 
Verwendung einheitlicher Geokoordinaten einhergehende 
Standardisierung können Daten aus unterschiedlichen Re- 
gistern jedoch wesentlich leichter verknüpft werden. So- 
mit führt die einheitliche Georeferenzierung auch zu 
einem deutlich höheren Risiko für das Recht auf informa- 
tioneile Selbstbestimmung. Deshalb ist für jedes Regisfer 
zu prüfen, ob eine einheitliche Georeferenzierung tat- 
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sächlich erforderlich ist. Ich lehne daher Vorschläge ab, 
diese auch auf Melde-, Pass-, Personalausweis- und Per- 
sonenstandsregister zu erstrecken. 

Ersetzung der Schriftform oder wie sicher ist De-Mail 

Der Gesetzentwurf sieht durch Änderungen verwaltungs- 
verfahrensrechtlicher Bestimmungen (VwVfG, SGB X, 
Abgabenordnung) vor, dass künftig die Schriftform u. a. 
auch durch eine absenderbestätigte De-Mail ersetzt wer- 
den kann. Heute ist das nur bei Verwendung einer qualifi- 
zierten elektronischen Signatur möglich, die sich bislang 
aber kaum durchgesetzt hat. 

Diese Gleichsetzung der De-Mail mit der Schriftform ist 
isoliert betrachtet zunächst kein Datenschutzproblem. 
Durch die damit von der Bundesregierung erwartete sehr 
viel häufigere Verwendung der De-Mail ist allerdings die 
Frage der Datensicherheit dieses Verfahrens wieder in 
den Mittelpunkt der Beratungen gerückt (vgl. 22. TB 
Nr. 6.6 und 23. TB Nr. 3.3). Denn De-Mail bietet stan- 
dardmäßig keine durchgehende Ende-zu-Ende- Verschlüs- 
selung. Die Nachrichten werden bei den De-Mail-Anbie- 
tem entschlüsselt und wieder verschlüsselt. Dies wird vor 
allem beim Versand besonders schutzbedürftiger Daten 
per De-Mail als problematisch betrachtet, z. B. bei Ge- 
sundheitsdaten. 

Aus meiner Sicht ist bei der Nutzung von De-Mail eine 
Ende-zu-Ende-Verschlüsselung nur dann verzichtbar, 
wenn der Schutzbedarf der Daten als „normal“ eingestuft 
wird, etwa bei der Aktualisierung von Adressdaten durch 
einen Sozialversicherungsträger. In diesen Fällen reicht 
das im Vergleich zur einfachen E-Mail schon deutlich hö- 
here Niveau an Datensicherheit der De-Mail aus (vgl. 
auch Nr. 3.2.4). Auch bei hohem Schutzbedarf (z. B. 
beim Versand von Bankdaten) kann dann auf die Ende- 
zu-Ende-Verschlüsselung verzichtet werden, wenn eine 
Risikoanalyse ein geringes Restrisiko ergibt. Personenbe- 
zogene Daten mit einem sehr hohen Schutzbedarf (etwa 
medizinische Gesundheitsdaten) erfordern hingegen stets 
die Verwendung einer Ende-zu-Ende-Verschlüsselung. 
Diese Position habe ich im Gesetzgebungsverfahren zum 
E-Govemment-Gesetz deutlich gemacht. 

3.2.4 De-Mail-Zertifizierung 

Erste Datenschutzzertifikate konnten an De-Mail-Dienste- 
anbieter erteilt werden. Trotzdem sind noch nicht alle 
Fragen gelöst. 

Am 3. Mai 2011 trat das De-Mail-Gesetz in Kraft. Über 
das Gesetzgebungsverfahren hatte ich bereits in meinem 
letzten Tätigkeitsbericht (vgl. 23. TB Nr. 3.3) informiert. 
De-Mail ist eine einfache Möglichkeit, elektronische 
Nachrichten und Dokumente vertraulich, sicher und 
nachweisbar zu versenden. Ein Unternehmen, das De- 
Mail-Dienste anbieten will, muss sich vorab beim Bun- 
desamt für Sicherheit in der Informationstechnik (BSI) 
akkreditieren lassen. Im Rahmen der Akkreditierung wird 
die Einhaltung des Datenschutzes durch ein Gutachten ei- 


ner sachverständigen und unabhängigen Stelle für Daten- 
schutz festgestellt. Das Gutachten wird von mir geprüft 
und bei Unbedenklichkeit ein Datenschutzzertifikat er- 
teilt. Die Datenschutzprüfung basiert auf einem Kriterien- 
katalog, der in meiner Verantwortung liegt. Er ist derzeit 
in der Fassung 1.2. auf meiner Intemetseite (www.daten 
schutz.bund.de) und über den Elektronischen Bundes- 
anzeiger abrufbar. 

Die Erteilung von Zertifikaten als Voraussetzung für die 
Aufnahme einer gewerblichen Tätigkeit ist ein Novum 
für mein Haus. Seit Inkrafttreten des Gesetzes habe ich 
der Mentana Claimsoft GmbH, der T-Systems Internatio- 
nal GmbH und der T-Deutschland GmbH ein Daten- 
schutzzertifikat nach dem De-Mail-Gesetz erteilt. Alle 
drei Unternehmen haben zudem die für die Aufnahme ih- 
res De-Mail-Dienstes notwendige Akkreditierung durch 
das BSI erhalten. 

Einige datenschutzrechtliche Forderungen, die ich bereits 
im letzten Berichtszeitraum eingebracht hatte, wurden im 
Gesetzgebungsverfahren leider nicht oder nur teilweise 
berücksichtigt, insbesondere die Forderung nach kürzeren 
Fristen für die Aufbewahrung von personenbezogenen 
Daten. Die akkreditierten De-Mail-Diensteanbieter 
(DMDA) müssen, um ihre Dokumentationspfiicht zu er- 
füllen, Daten wie die Protokollierung der Kontoeröffnung 
oder der Kündigung noch zehn Jahre nach dem Ende des 
Vertragsverhältnisses speichern. Die ursprünglich vorge- 
sehene Frist betrug 30 Jahre. Weiter sollte der Dokumen- 
tenablagedienst nach einer ausschließlich vom Nutzer zu 
steuernden Verschlüsselung erfolgen und nicht, wie nun 
vorgesehen, durch den DMDA. Allerdings haben die 
DMDA die Dokumentenablage, die nach dem Gesetz op- 
tional angeboten werden kann, bislang nicht umgesetzt. 

Gesetzlich nicht geklärt ist die Frage, ob auch besonders 
schutzbedürftige Daten wie Sozial- oder Gesundheitsda- 
ten mittels De-Mail versendet werden dürfen. Entgegen 
meiner Forderung nach einer zwingenden Ende-zu-Ende- 
Verschlüsselung hat sich der Gesetzgeber dafür entschie- 
den, diese müsse von den Anbietern lediglich optional 
angeboten werden. Die De-Mail ist vor einem unberech- 
tigten Zugriff deutlich besser geschützt als die herkömm- 
liche E-Mail, denn die Nachricht wird in einer sicheren 
Umgebung erzeugt, versendet und zugestellt (Transport- 
und Inhaltsverschlüsselung). Die Inhaltsverschlüsselung 
wird aber vor dem Versand und vor der Zustellung kurz- 
zeitig aufgehoben, um die vom Gesetz vorgesehene Über- 
prüfung des De-Mail-Inhaltes auf Schadsoftware zu 
ermöglichen. Aufgrund meiner Erkenntnisse aus den Zer- 
tifizierungsverfahren weiß ich, dass die Sicherheitsanfor- 
derungen an die IT- Sicherheit des DMDA sehr hoch sind, 
damit ein unberechtigter Zugriff sowohl durch Außen- 
wie durch Innentäter möglichst unterbunden wird. Die 
Entschlüsselung und Schadsoftwareprüfung erfolgen in 
einem Sicherheitsrechenzentrum, das den Anforderun- 
gen des BSI entsprechen muss. Gegen unberechtigte Zu- 
griffe von innen muss der DMDA sicherstellen, dass die 
Entschlüsselung zur Prüfung auf Schadsoftware automa- 
tisch erfolgt und sehr restriktive Zugriffsrechte bestehen. 
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Sämtliche personenbezogenen Daten sind verschlüsselt 
abzulegen. 

Unbeschadet dieser Sicherheitsvorgaben halte ich bei beson- 
ders schutzbedürftigen Daten eine Ende-zu-Ende- Verschlüs- 
selung für erforderlich. So sollten Stellen, die besonders 
schützenswerte personenbezogene Daten untereinander 
austauschen, z. B. Krankenkassen oder andere Sozialleis- 
tungsträger, diese De-Mail-Nachrichten stets Ende-zu- 
Ende-verschlüsseln. Dies ist auch geboten, weil solche 
Einrichtungen durch die große Menge der versendeten 
Daten einem erhöhtem Angriffsrisiko und damit einem 
entsprechenden Schadenspotential unterliegen (Kumula- 
tionseffekt). Versenden sie besonders schutzbedürftige 
personenbezogene Daten an den Bürger/Kunden, richtet 
sich die Verpflichtung zur Ende-zu-Ende-Verschlüsselung 
nach dem Schutzbedarf des jeweiligen Datums. Dieser ist 
anhand der Grundschutzmethodik des BSl von der daten- 
verarbeitenden Stelle festzustellen. Darüber hinaus ist es 
erforderlich, zumindest vor dem erstmaligen Versand eine 
Einwilligung des Betroffenen einzuholen, oder festzustel- 
len, ob dieser den Zugang über diesen Kommunikations- 
weg ausdrücklich eröffnet hat. 

Um allen Nutzem von De-Mail Hinweise zum daten- 
schutzkonformen Umgang damit zu geben, habe ich eine 
entsprechende Handreichung erarbeitet (vgl. auch An- 
lage 6). 

3.3 Videoüberwachung 

Videoüberwachung ist seit vielen Jahren ein wichtiges 
Datenschutzthema - die Kamera ist wohl das meist ver- 
wendete Symbol für Überwachung. Auch wenn andere 
Überwachungstechniken heute mindestens die gleiche 
Bedeutung erlangt haben, hat mich die Videoüberwa- 
chung auch in dieser Berichtsperiode gleich mehrfach 
beschäftigt. Neben den in diesem Kapitel zusammenge- 
führten Themen sei dabei insbesondere auf die Video- 
überwachung am Arbeitsplatz hingewiesen, auf die we- 
gen des engen Sachzusammenhangs in Kapitel 13 zum 
Beschäftigtendatenschutz näher eingegangen wird. 

3.3.1 Versteckte Kamera - auch in der 
Bundesverwaltung? 

Meine Umfrage zum Einsatz von Videoüberwachungs- 
technik schafft erstmals einen Überblick über den Um- 
fang der Videoüberwachung in der Bundesverwaltung - 
und deckt datenschutzrechtlichen Nachholbedarf auf. 
Eine Orientierungshilfe zum datenschutzgerechten Ein- 
satz von Videoüberwachung in der Bundesverwaltung soll 
Abhilfe schaffen. 

Ob in Wohnanlagen, Bahnhöfen, Tankstellen, Einkaufs- 
passagen, Kaufhäusern, Taxen, Kinos oder sogar in 
Schwimmbädern - Videoüberwachung gehört heute zum 
Alltag. Auch in der Bundesverwaltung kommen tausende 
von Videokameras zum Einsatz. Bislang fehlte es aller- 
dings an verlässlichen Zahlen. 


Um mir einen Überblick über Art und Umfang der einge- 
setzten Videoüberwachungstechnik in der Bundesverwal- 
tung zu verschaffen, habe ich in der Berichtsperiode eine 
Erhebung bei den Bundesbehörden und Bundesgerichten 
durchgeführt. Von allen Bundesbehörden wollte ich wis- 
sen, wie viele Videokameras eingesetzt werden. Ich habe 
zudem nach der jeweiligen Rechtsgrundlage, der Auf- 
nahme in das Verfahrensverzeichnis, der Durchführung 
einer Vorabkontrolle, der Kennzeichnung der Videoüber- 
wachung, der Festlegung von Zugriffsrechten und den be- 
stehenden Löschfristen gefragt. Darüber hinaus habe ich 
Angaben zu der Art der Videoüberwachung (reine Über- 
tragung oder Aufzeichnung) erbeten. 

Allein die Anzahl der in der Bundesverwaltung im Innen- 
und Außenbereich zur Eigensicherung eingesetzten Vi- 
deokameras lässt aufhorchen: Die 615 öffentlichen Stel- 
len des Bundes, die Videoüberwachung nutzen, setzen 
über 17 500 Videokameras ein, hauptsächlich zur Siche- 
rung der Liegenschaften und der sich darin aufhaltenden 
Personen und zur Zugangskontrolle. Nicht mitgezählt 
sind dabei die Kameras von anderen Stellen, die die Be- 
hörden des Bundes mitnutzen, wie z. B. die Bundespoli- 
zei die von der Deutschen Bahn betriebenen Videokame- 
ras auf Bahnhöfen (vgl. Nr. 3.3.2). 392 Stellen stützen 
ihre Videoüberwachung dabei auf § 6b BDSG als Rechts- 
grundlage, 121 Stellen beriefen sich auf spezialgesetzli- 
che Ermächtigungen, insbesondere aus dem Bundespoli- 
zeigesetz. 

Während die überwiegende Anzahl der Stellen wenige 
Kameras bei wenigen Liegenschaften nutzen, setzen 
190 Stellen mehr als 9 Kameras im Außen- und Innenbe- 
reich ein, 22 Stellen sogar jeweils 100 Kameras oder 
mehr. Hier stellt sich in besonderem Maße die Frage nach 
der Erforderlichkeit, zumal eine flächendeckende Über- 
wachung des Außen- und Innenbereichs die Gefahr de- 
taillierter Bewegungs- und Verhaltensprofile birgt. 

Überrascht hat mich vor allem die Verbreitung daten- 
schutzrechtlicher Mängel, zumal die datenschutzrechtli- 
chen Vorgaben für die „offene“, d. h. sichtbare Video- 
überwachung in öffentlich zugänglichen Räumen seit 
2001 in § 6b BDSG geregelt sind (vgl. Kasten a zu 
Nr. 3.3.1). 

Die Umfrage hat immer wiederkehrende, geradezu typi- 
sche Problemfelder aufgezeigt (vgl. dazu auch die Aus- 
wertung im Kasten b zu Nr. 3.3.1): 

Unzureichende Kenntnis der Rechtsgrundlagen 

Fast jede sechste Stelle (97) konnte keine oder nur unzu- 
reichende Angaben zur rechtlichen Grundlage ihrer Vi- 
deoüberwachung machen. Es lässt sich zwar nicht aus- 
schließen, dass im Einzelfall auch Kameras angegeben 
wurden, die nicht der Beobachtung des öffentlich oder 
nicht-öffentlich zugänglichen Raums, sondern etwa der 
Dokumentation wissenschaftlicher Tests ohne jeglichen 
Personenbezug dienen. Der Befund lässt aber befürchten, 
dass sich eine beachtliche Zahl verantwortlicher Stellen 



Drucksache 17/13000 


-50- 


Deutscher Bundestag - 17. Wahlperiode 


nicht über die datenschutzrechtlichen Grundlagen der Vi- 
deoüberwachung im Klaren ist. 

Fehlender Hinweis anf Videoüberwachnng 

Jede dritte Stelle (209) hat keinen gesonderten Hinweis 
auf die Videoüberwachung angebracht, obwohl diese 
mehrheitlich (119) auf § 6b BDSG gestützt wurde, der 
diese Hinweispflicht ausnahmslos vorsieht. Die „ver- 
steckte Kamera“ scheint daher leider auch in der Bundes- 
verwaltung weit verbreitet zu sein. 

Unterbliebene Vorabkontrolle 

Die fehlende Durchführung einer Vorabkontrolle und die 
unterbliebene Aufnahme in das Verfahrensverzeichnis er- 
wiesen sich ebenfalls als auffällig. Im Rahmen einer Vor- 
abkontrolle gern. § 4d Absatz 5 BDSG hat der behördli- 
che Datenschutzbeauftragte die rechtliche Zulässigkeit 
der beabsichtigten Verarbeitung zu prüfen, sowie sich zu 
vergewissern, ob die vorgesehenen technischen und orga- 
nisatorischen Maßnahmen ausreichend und angemessen 
sind. Hierzu hat er eine Risikoanalyse durchzuführen und 
ein Sicherheitskonzept zu erstellen. Für ihre automatisier- 
ten Verarbeitungen haben die öffentlichen Stellen zudem 
die Angaben gern. § 4e BDSG sowie die Rechtsgrundlage 
der Verarbeitung in einem Verzeichnis festzulegen. 

Jeweils über die Hälfte der Behörden gab an, die Video- 
überwachung nicht in ihr Verfahrensverzeichnis aufge- 
nommen (315 Stellen) und keine Vorabkontrolle durchge- 
führt zu haben (352 Stellen). 58 bzw. 77 Stellen konnten 
auf diese Fragen keine Antwort geben. Die Aufnahme in 
das Verfahrensverzeichnis und die Durchführung einer 
Vorabkontrolle sind bei dem Einsatz von Videokameras 
zwar nur erforderlich, wenn die Datenverarbeitung auto- 
matisiert stattfindet. Angesichts der verbreiteten digitalen 
Kameratechnik ist dies allerdings in aller Regel der Fall. 

Zu lange Speicherungsdauer 

Zu bemängeln war schließlich auch die überlange Spei- 
cherdauer der Bilddaten. Etwa die Hälfte der erfassten 
Stellen gab an, Videoüberwachung mit Aufzeichnungs- 
funktion vorzunehmen. Hiervon löschen nur wenige Stel- 
len (58) die Aufzeichnungen innerhalb von 72 Stunden 
oder zumindest innerhalb einer Woche (69 Stellen), ln 
den überwiegenden Fällen beträgt die Speicherdauer bis 
zu einem Monat (72 Stellen), bei einigen Stellen (30) so- 
gar noch länger - viel zu lang für einen datenschutzkon- 
formen Einsatz von Videoüberwachung! 

Auch wenn die Informationsbeschaffung durch Fragebo- 
gen nicht die eingehende Vor-Ort-Kontrolle ersetzen 
kann, hat die Umfrage doch mit aller Deutlichkeit einen 


nahezu fiächendeckenden Beratungsbedarf bei dem 
Thema „Videoüberwachung“ gezeigt. Die Erkenntnisse 
aus der Umfrage habe ich zum Anlass genommen, eine 
ausführliche Orientierungshilfe für einen datenschutzkon- 
formen Einsatz von Videoüberwachungstechnik zu erstel- 
len, die es den verantwortlichen Stellen erleichtert, für ei- 
nen datenschutzgerechten Einsatz der Videoüberwachung 
zu sorgen (vgl. Anlage 7). Ferner werde ich bei denjeni- 
gen Stellen, bei denen die Erhebung gravierende Mängel 
ergeben hat, auf deren Abstellung hinwirken. Die daten- 
schutzkonforme Videoüberwachung wird auch zukünftig 
Gegenstand meiner Kontrollen sein. 

Kasten a zu Nr. 3.3.1 


§ 6b Beobachtung öffentlich zugänglicher Räume 
mit optisch-elektronischen Einrichtungen 

(1) Die Beobachtung öffentlich zugänglicher Räume 
mit optisch-elektronischen Einrichtungen (Videoüber- 
wachung) ist nur zulässig, soweit sie 

1 . zur Aufgabenerfüllung öffentlicher Stellen, 

2. zur Wahrnehmung des Hausrechts oder 

3. zur Wahrnehmung berechtigter Interessen für kon- 
kret festgelegte Zwecke erforderlich ist und keine 
Anhaltspunkte bestehen, dass schutzwürdige Interes- 
sen der Betroffenen überwiegen. 

(2) Der Umstand der Beobachtung und die verant- 
wortliche Stelle sind durch geeignete Maßnahmen er- 
kennbar zu machen. 

(3) Die Verarbeitung oder Nutzung von nach Ab- 
satz 1 erhobenen Daten ist zulässig, wenn sie zum Errei- 
chen des verfolgten Zwecks erforderlich ist und keine 
Anhaltspunkte bestehen, dass schutzwürdige Interessen 
der Betroffenen überwiegen. Für einen anderen Zweck 
dürfen sie nur verarbeitet oder genutzt werden, soweit 
dies zur Abwehr von Gefahren für die staatliche und öf- 
fentliche Sicherheit sowie zur Verfolgung von Straftaten 
erforderlich ist. 

(4) Werden durch Videoüberwachung erhobene Da- 
ten einer bestimmten Person zugeordnet, ist diese über 
eine Verarbeitung oder Nutzung entsprechend den 
§§ 19a und 33 zu benachrichtigen. 

(5) Die Daten sind unverzüglich zu löschen, wenn sie 
zur Erreichung des Zwecks nicht mehr erforderlich sind 
oder schutzwürdige Interessen der Betroffenen einer 
weiteren Speicherung entgegenstehen. 
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Kasten b zu Nr. 3.3.1 


Auswertung der Umfrage zum Einsatz von Videoüberwachungstechnik in der Bundesverwaltung, beruhend 
auf den Angaben der 615 erfassten Stellen. 


Überwachungsbereichi 

Stellen 

Prozentangaben 

(gerundet) 

Überwachung Außenbereich 

472 


Überwachung Innenbereich 

357 


Innen- und Außenbereich 

217 


Anzahl Kameras 



mehr als 9 Kameras 

190 


mehr als 49 Kameras 

60 


mehr als 99 Kameras 

22 


Rechtsgrundlage* 



§ 6b BDSG 

392 


§§ 12ff. BDSG 

26 


Spezialgesetze, u. a. BPolG 

121 


keine Angaben, ungenaue Angaben 

97 


Verfahrensübersicht 



aufgenommen 

242 

39% 

nicht aufgenommen 

315 

51 % 

keine Angabe 

58 

10% 


= 615 


Vorabkontrolle 



durchgeführt 

186 

30% 

nicht durchgeführt 

352 

57% 

keine Angabe 

77 

13 % 


= 615 


Hinweis auf Videoüberwachung 



Text/Piktogramm 

355 

58% 

kein Hinweis 

2092 

34% 

keine Angabe 

5P 

8% 


= 615 


Speicherdauer 



bis zu 3 Tagen 

58 

9% 

bis zu 1 Woche 

69 

11 %0 

bis zu 1 Monat 

72 

12 %o 

über 1 Monat 

30 

5% 

keine Speicherung (reine Übertragung) 

327 

53 % 

keine Angabe (trotz Aufzeichnung) 

14 

2 % 

keine Angabe von Fristen 

43 

7% 


= 615 



• Mehrfachnennungen möglich. 

^ davon gaben 119 Stellen § 6b als Rechtsgrundlage an, der eine Hinweispflicht ausdrücklich vorsieht. 
^ davon gaben 15 Stellen § 6b als Rechtsgrundlage an, der eine Hinweispflicht ausdrücklich vorsieht. 
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3.3.2 Was der versuchte Bombenanschlag am 
Bonner Bahnhof lehrt 

Die fehlenden Videoaufzeichnungen am Bonner Bahnhof 
haben die Diskussion um die Videoüberwachung in öf- 
fentlichen Räumen neu entfacht. Für neue Gesetze besteht 
kein Anlass, denn die Aufzeichnung scheiterten nicht am 
Recht, sondern an den technischen Mitteln. 

Das öffentliche Erstaunen war groß, als bekannt wurde, 
die installierten Videokameras auf dem Bonner Haupt- 
bahnhof hätten keine Bilder von dem versuchten Bom- 
benanschlag aufgenommen und könnten daher zur Auf- 
klärung des Vorfalls nichts beitragen. Wie üblich ließ der 
Ruf nach schärferen Sicherheitsgesetzen nicht lange auf 
sich warten. Um es vorweg zu nehmen: Die Bahnsteige 
auf dem Bonner Hauptbahnhof durften videoüberwacht 
werden, und Aufzeichnungen wären auch erlaubt gewe- 
sen. Dies ist geltendes Recht und ergibt sich aus § 27 
Bundespolizeigesetz. Danach ist der Bahnhof ein gefähr- 
deter Ort, an dem das Mittel der Videoüberwachung ein- 
gesetzt werden darf Ich habe dies nie in Zweifel gezogen. 

Wenn in Bonn nichts aufgezeichnet wurde, mag dies tech- 
nische oder auch finanzielle Gründe haben. Bei der Vi- 
deoüberwachung auf Bahnhöfen gibt es ein unübersichtli- 
ches Nebeneinander von Bundespolizei und Deutscher 
Bahn. Faktisch gehören die Videokameras meistens der 
Deutschen Bahn, die Bundespolizei kann sich bei Bedarf 
auf diese Kameras aufschalten und speichert dann die 
Aufnahmen in aller Regel auf eigenen Geräten. Die Funk- 
tionsfähigkeit der Videoüberwachung hängt deshalb we- 
sentlich davon ab, wer welche Ressourcen für die Tech- 
nik zur Verfügung stellt. 

Nach Pressemeldungen wird derzeit nur etwa jeder zehnte 
Bahnhof videoüberwacht, bei weniger als drei v. H. erfol- 
gen Aufzeichnungen. Selbst wenn die Überwachungs- 
möglichkeiten ausgeweitet würden, erscheint eine flä- 
chendeckende Videoaufzeichnung an allen Bahnhöfen 
illusorisch, von rechtlichen Aspekten - wie z. B. dem 
Grundsatz der Verhältnismäßigkeit - einmal ganz abgese- 
hen. 

Meine Mitarbeiter sind gegenwärtig im Gespräch mit der 
Bundespolizei, um vernünftige und praktikable Lösungen 
zu erarbeiten, wie nachvollziehbare Sicherheitsinteressen 
mit der gebotenen Erforderlichkeit und Verhältnismäßig- 
keit datenschutzkonform in Einklang gebracht werden 
können. 


Abgesehen von diesen Fragen der rechtlichen Grenzen 
der Videoüberwachung bleibe ich dabei, dass die flächen- 
deckende Videoüberwachung weder das Kriminalitäts- 
problem lösen noch dem Terrorismus wirksam begegnen 
kann. Nicht zuletzt dies macht der Bonner Vorfall deut- 
lich. Den oder die Täter haben die Videokameras nicht 
abgeschreckt. Auch dies sollte man zur Kenntnis nehmen. 

Videoüberwachung kann sinnvoll sein, wenn sie in ein 
polizeiliches Gesamtkonzept eingepasst ist. Sie mag den 
Blick im Einzelfall auf einen Täter richten. Sie ist aber 
kein Allheilmittel, kann auch im Sicherheitsbereich den 
Menschen nur unterstützen, nicht aber ersetzen, und darf 
den Blick auf die eigentlichen Ursachen der Kriminalität 
nicht verstellen. 

3.3.3 Beobachtungsdrohnen 

Die Videobeobachtung geht in die dritte Dimension. Un- 
bemannte Luftsysteme (Unmanned Aerial Systems, UAS) 
-umgangssprachlich ,, Drohnen“ - sind Trägersysteme 
für immer leistungsfähigere Überwachungstechnik. Ge- 
fahren für die Privatsphäre sind dabei vorprogrammiert. 

Schon bei isolierter Betrachtung gehen von bestimmten 
Techniken besondere Gefahren aus. Dies ist etwa bei der 
Videoüberwachung der Fall, was den Gesetzgeber veran- 
lasst hat, deren Einsatzbedingungen und die dabei zu be- 
achtenden Datenschutzvorgaben im BDSG und in ande- 
ren Rechtsvorschriften festzuschreiben. Ein zusätzliches 
Überwachungspotential ergibt sich, wenn verschiedene 
Techniken miteinander kombiniert werden. Ein Parade- 
beispiel dafür sind die Video- oder Beobachtungs- 
drohnen, komplexe Systeme, in denen Flug- und Steue- 
rungstechnik, WLAN- und andere Funktechniken mit der 
Videoelektronik verbunden werden (vgl. Kasten zu 
Nr. 3.3.3). 

Ich habe Zweifel, ob die geltenden gesetzlichen Regelun- 
gen zur Videoüberwachung den besonderen Gefähr- 
dungen des Persönlichkeitsrechts, die vom Einsatz von 
Beobachtungsdrohnen ausgehen, ausreichend Rechnung 
tragen. Der Gesetzgeber ist aufgerufen, zu prüfen, inwie- 
weit die vorhandenen Gesetze den technischen Entwick- 
lungen angepasst werden müssen. 

Flugdrohnen werden von der Bundeswehr (vgl. 
Nr. 3. 3. 3. 3) und der Bundespolizei (vgl. Nr. 3. 3. 3. 2) ein- 
gesetzt. Aber auch im privaten Bereich erfreuen sie sich 
vor allem als flugtechnische Geschicklichkeitsspiele gro- 
ßer Beliebtheit (vgl. Nr. 3. 3. 3. 4). 


Kasten zu Nr. 3.3.3 


Beobachtungsdrohnen 

Die Bundespolizei verwendet zwei Arten von Beobachtungsdrohnen. Zum einen ein wenige Kilogramm schweres 
Leichtflugzeug „Aladin“, welches mehrere 1000 Meter hoch fliegen kann. Zum anderen einen ca. ein Kilogramm 
schweren „Fancopter“, der in der Regel 10 bis 20 Meter hoch fliegt. Beide Drohnenformen sind mit austauschbaren 
Foto- und Videokameras versehen. 
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Die Foto- und Videoaufnahmen des „Aladin“ werden an die tragbare Bodenstation (mit Monitor) live übertragen. Ge- 
speichert werden die Bilder in der Beobachtungsdrohne. Personenbezogene Daten können bedingt durch die Auflö- 
sung der Video- und Kamerasysteme und die Flughöhe in der Regel nicht erhoben werden. 

Die Foto- und Videoaufnahmen des „Fancopter“ werden an die ebenfalls tragbare Bodenstation (mit Monitor) über- 
tragen. Gespeichert werden die Bilder in der Drohne. Personenbezogene Daten können bedingt durch die Auflösung 
der Video- und Kamerasysteme und die Flughöhe erhoben werden. 

Die Einsätze erfolgten zur (Bundestagsdrucksache 17/8693; Nr. 13): 

- Überwachung/ Aufklärung im Rahmen von Schleusungen im Grenzbereich, 

- Aufklärung von Geländeabschnitten im Rahmen einer Erpresserlage, 

- Überwachung von Gleisanlagen aufgrund von gefährlichen Eingriffen in den Bahnverkehr, 

- Luftbildaufnahmen von Objekten, 

- Objektüberwachung/Zugriffsunterstützung an einer Bahnanlage und 

- Objektaufklärung/Erkennen von BTM-Anbau an einer Lagerhalle. 

Das sind die Beobachtungsdrohnen der Bundespolizei: 

„Aladin“ „Fancopter“ 



3. 3. 3.1 Regelungen im Luftverkehrsgesetz 

Ich konnte erreichen, dass bei der verkehrsrechtlichen 
Zulassung von unbemannten Luftfahrtsystemen daten- 
schutzrechtliche Anforderungen beachtet werden müssen. 

Nach einer Änderung luftverkehrsrechtlicher Vorschriften 
können seit Mitte 2012 künftig auch unbemannte Luft- 
fahrtsysteme (Unmanned Aerial Systems - UAS) den 
Luftraum nutzen. UAS werden dabei in Abgrenzung zu 
ferngesteuerten Flugmodellen luftverkehrsrechtlich be- 
mannten Flugzeugen gleichgestellt. Der Aufstieg von 
UAS bedarf einer Erlaubnis nach § 16 Absatz 1 Num- 
mer 7 der Luftverkehrs-Ordnung (LuftVO). 

Da mit kamerabestückten UAS Menschen gefilmt und in 
ihrer Bewegung beobachtet werden können, sind bei de- 
ren Einsatz datenschutzrechtliche Aspekte berührt. 

Daher habe ich mich im parlamentarischen Verfahren da- 
für eingesetzt, dass eine Erlaubnis nur erteilt werden darf, 
wenn beim Aufstieg von UAS das Recht auf informatio- 
neile Selbstbestimmung nicht verletzt wird. 


Der Deutsche Bundestag ist dem gefolgt und hat eine ent- 
sprechende Ergänzung des § 16 Absatz 4 Satz 1 LuftVO 
beschlossen. Eine Erlaubnis zum Aufstieg eines UAS 
wird jetzt nur erteilt, wenn die beabsichtigten Nutzungen 
nicht zu einer Gefahr für die Sicherheit des Luftverkehrs 
oder die öffentliche Sicherheit oder Ordnung führen kön- 
nen, insbesondere im Fall von § 16 Absatz 1 Nummer 7 
LuftVO die Vorschriften über den Datenschutz nicht ver- 
letzt werden. 

Daher haben die zuständigen Erlaubnisstellen (in aller 
Regel die Landesluftfahrtbehörden) im Rahmen der Prü- 
fung entsprechender Erlaubnisanträge zum Einsatz von 
UAS künftig in jedem Einzelfall im Rahmen pflichtgemä- 
ßen Ermessens auch zu prüfen, ob der Erlaubnis eine Ver- 
letzung des Datenschutzes als Versagungsgrund entge- 
gensteht. Dies begrüße ich ausdrücklich. 

Damit einheitliche Kriterien bei der Umsetzung dieser 
Neuregelung angewandt werden, hat das Bundesministe- 
rium für Verkehr, Bau und Stadtentwicklung (BMVBS) 
im Sommer 2012 „Gemeinsame Grundsätze des Bundes 
und der Länder für die Erteilung der Erlaubnis zum Auf- 


Drucksache 17/13000 


-54- 


Deutscher Bundestag - 17. Wahlperiode 


stieg von unbemannten Luftfahrtsystemen gemäß § 16 
Absatz 1 Nummer 7 Luftverkehrsordnung (LuftVO)“ 
veröffentlicht. Ich habe das BMVBS bei deren Abfassung 
beraten und danke für die Übernahme meiner Empfehlun- 
gen. 

Positiv möchte ich auch hervorheben, dass die Bundes- 
regierung in einem Bericht an den Ausschuss für Verkehr, 
Bau und Stadtentwicklung des Deutschen Bundestages 
erklärt hat, der Zugang zur UAS-Technologie solle so ge- 
staltet werden, dass einem Missbrauch, z. B. durch Aus- 
spionieren der Privatsphäre Dritter, vorgebaut wird. 

3. 3. 3.2 Fliegende Videokameras bei der 
Bundespolizei 

Bisher verwendet bei der Bundespolizei nur die Spezial- 
kräfteeinheit ,, GSG 9 “ Flugdrohnen. Hierbei kommen 
zwei Drohnensysteme mit unterschiedlichen Kamera- und 
Videosystemen zum Einsatz. Ich konnte mir ein System bei 
einem ,, Testflug “ ansehen. 

Mit Kameras bestückte ferngesteuerte Flugdrohnen eröff- 
nen Sicherheitsbehörden neue Möglichkeiten der Über- 
wachung. Bei der Bundespolizei setzt bislang nur die 
„GSG 9“ solche Geräte ein. Je nach technischer Ausstat- 
tung werden die von der Kamera aufgenommenen Ein- 
zelaufnahmen und Videos an eine „Bodenstation“ gesen- 
det. 

Ich betrachte die Videoüberwachung mittels Drohnen 
stets als heimliche Datenerhebungsmaßnahme. Heimlich 
bedeutet, dass die betroffene Person nicht erkennt, dass 
sie gerade einer Überwachungsmaßnahme unterzogen 
wird, sei es, dass sie das Fluggerät selbst nicht bemerkt, 
sei es, dass sie nicht einschätzen kann, inwieweit sie vom 
Vorgang der Bildaufnahme oder -aufzeichnung selbst 
konkret betroffen ist. Sofern dabei personenbezogene Da- 
ten erhoben und verarbeitet werden, darf die Bundespoli- 
zei Drohnen daher nur zur Vorbeugung von Straftaten 
gern. § 28 Absatz 1 Bundespolizeigesetz (BPolG) oder 
zur Strafverfolgung gern. § 100h Strafprozessordnung 
(StPO) einsetzen. Danach sind unter Beachtung von ver- 
fassungsrechtlichen Grenzen auch heimliche Foto-, Vi- 
deo- und Tonaufzeichnungen zulässig. 

Die verwendeten Flugmodelle sind mit austauschbaren 
Foto- und Videokameras versehen. Bislang setzt die 
„GSG 9“ nach eigener Aussage ihre Drohnensysteme 
vornehmlich zur vorbeugenden Bekämpfung von Strafta- 
ten ein, ohne dabei personenbezogene Daten zu erheben, 
z. B. bei Übersichtsaufnahmen von Bahnanlagen und La- 
gerhallen. Gegen diese Form der Überwachung habe ich 
grundsätzlich keine Bedenken. 

Ich werde die Verwendung von Videodrohnen bei der 
Bundespolizei weiterhin genau beobachten, bietet doch 
die immer ausgefeiltere Technik zunehmend die Möglich- 
keit, personenbezogene Daten in einer für den Betroffe- 
nen nicht erkennbaren Weise zu erheben und zu verarbei- 
ten. 


3.3. 3. 3 Beobachtungsdrohnen bei der 
Bundeswehr - nur eine Übung? 

Die Bundeswehr setzt mit Videotechnik bestückte Flug- 
drohnen zu Übungszwecken ein. Manche Bürgerinnen 
und Bürger befürchten dadurch die Verletzung ihrer Pri- 
vatsphäre. 

Wenn man derzeit über Drohnen bei der Bundeswehr 
spricht, steht deren militärischer Einsatzzweck im Mittel- 
punkt. Allerdings sind diese Geräte durchgängig mit Vi- 
deotechnik ausgerüstet, so dass sich auch Fragen des 
Datenschutzes stellen. Die Bundeswehr trainiert auch in 
Deutschland den Umgang mit unbemannten Luftfahrzeu- 
gen (Flugdrohnen) für den militärischen Einsatz. Die 
hierfür notwendigen Übungsflüge finden bei Tag und 
Nacht in exakt definierten Korridoren, so genannten 
Flugbeschränkungsgebieten, statt. Da die Flugdrohnen 
der Bundeswehr u. a. zur Aufklärung dienen, sind diese in 
der Regel mit aufwendiger, hochauflösender Kamera- 
und Aufnahmetechnik ausgestattet. Mit Hilfe der entspre- 
chenden technischen Vorrichtung können die Flugdroh- 
nen Foto-, Video- und sonstige Datensignale an die Bo- 
denstationen senden. 

Den Eingaben von Bürgern entnehme ich die Sorge, dass 
im Rahmen dieser Übungs- und Aufklärungsfiüge beim 
Überfliegen von Wohngebieten unrechtmäßige Aufnah- 
men von Personen oder Privateigentum gefertigt und die 
Betroffen dadurch in ihren Persönlichkeitsrechten verletzt 
werden. Da für die Betroffenen nicht erkennbar ist, wel- 
che Aufnahmen erfolgen und was mit diesen anschlie- 
ßend geschieht, befürchten sie insbesondere eine mögli- 
che Auswertung der Aufnahmen und deren weitere 
Verwendung oder Nutzung. Diese Sorgen nehme ich sehr 
ernst. 

Das Bundesministerium der Verteidigung (BMVg) hat 
mir versichert, die für die Übungsfiüge eingesetzten Flug- 
drohnen könnten Personen, die sich außerhalb von Ort- 
schaften im Sensorbereich aufhielten, zwar als solche ent- 
decken, nicht aber identifizieren. Personenbezogene oder 
personenbeziehbare Daten im Sinne des § 3 BDSG könn- 
ten nicht erhoben werden. Ich teile die Auffassung, dass 
bei perspektivischen Aufnahmen von oben die Erkenn- 
barkeit von Personen erheblich eingeschränkt ist, weil nur 
wenige Identifizierungsmerkmale erfasst werden. Gleich- 
wohl kann im Einzelfall eine Identifizierung möglich 
sein, wenn etwa besondere persönliche Merkmale der 
Person hinzukommen oder wenn eine Verknüpfung mit 
weiteren Erkenntnissen hergestellt werden kann, wie etwa 
mit Häusern oder Grundstücken, die der Person zugeord- 
net werden können. 

Laut BMVg erfolgt auch keine Auswertung der Sensor- 
bilder. Eine Nutzung der Daten im Rahmen der Ausbil- 
dung sei ebenfalls nicht vorgesehen. Vielmehr würden die 
Daten bei der nächsten Flugkampagne überschrieben. Im 
Übrigen weist das BMVg daraufhin, dass nach den anzu- 
wendenden Dienstvorschriften der Flugkurs bei Aus- 
bildungsfiügen zu planen sei und die unbemannten Luft- 
fahrzeuge dabei größere Abstände zu Ortschaften und 
Häuseransammlungen einzuhalten hätten. 
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Mir liegen bislang keine Erkenntnisse über andere als die 
planmäßig dargestellten Einsätze der Flugdrohnen vor. 
Ebenso habe ich keine Hinweise auf eine Verwendung der 
Aufnahmen oder Daten oder gar auf einen Datenmiss- 
brauch. Ich werde gleichwohl den Einsatz von Flugdroh- 
nen weiterhin kritisch begleiten. 

3. 3. 3.4 Was macht mein Nachbar gerade? 

Die zurzeit im Hobbybereich beworbenen Flugdrohnen 
sind vom Anwendungsbereich des Bundesdatenschutzge- 
setzes als privat-persönliche Tätigkeit nach § 1 Absatz 2 
Nummer 3 BDSG ausgenommen, soweit sie ausschließ- 
lich als flugtechnisches Geschicklichkeitsspielgerät ge- 
nutzt werden. 

Wird Deutschland zu einem Land von Voyeuren? Für den 
Einstieg in die Drohnen-Fliegerei braucht‘s nicht viel 
Geld: Zwar geben die Hersteller in den Bedienungsanlei- 
tungen meist deutliche Hinweise auf datenschutzrechtli- 
che Regeln. Dennoch tauchen immer öfter private Spio- 
nage-Videos aus Nachbars Garten bei YouTube auf 

Die Luftverkehrsordnung regelt zum Thema Privatsphä- 
renschutz, dass die Fluggenehmigungen von den jeweils 
zuständigen Landesluftfahrtbehörden nur erteilt werden 
sollen, „wenn die beabsichtigten Nutzungen (...) die Vor- 
schriften über den Datenschutz nicht verletzen“ (vgl. 
Nr. 3.3.3. 1). 

Bereits im meinem letzten Tätigkeitsbericht hatte ich auf 
diese Problematik hingewiesen (vgl. 23. TB Nr. 5.13). Im 
Berichtszeitraum haben mich erneut mehrere Eingaben zu 
den im Handel frei erhältlichen, als Spielzeuge beworbe- 
nen und über eine spezielle Software per Smartphone 
oder Tablet PC steuerbaren Fluggeräten erreicht. Hierbei 
übertragen die Bordkameras der Drohne Live-Bilder auf 
die Bildschirme des Nutzers. Diese Flugdrohnen mit ge- 
ringer Reichweite und Flughöhe bedürfen keiner Zulas- 
sung oder Aufstiegserlaubnis, so dass Verkauf und Ein- 
satz keinen Beschränkungen unterliegen. Die Anfragen 
und Beschwerden bezogen sich in der Hauptsache auf die 
private Nutzung und deren Zulässigkeit. 

Ich halte gleichwohl den Einsatz solcher Flugdrohnen im 
Hinblick auf die hiervon ausgehenden Gefahren für die 
Privatsphäre - die Flughöhe der Drohne beträgt nach mei- 
nen Recherchen bis zu 6 Metern mit einer Reichweite von 
etwa 50 Metern - für eine potenzielle Bedrohung der Pri- 
vatsphäre. Es ist dem Zweck dieses Gerätes naheliegend, 
dass es auch dazu eingesetzt wird, das Verhalten anderer 
Menschen (heimlich) zu beobachten. Dass dies regelmä- 
ßig unter Missachtung fremden Eigentums durch Über- 
windung von Grundstücksgrenzen erfolgen wird - man 
denke an den Flug in Nachbars Garten über den Zaun hin- 
weg - erhöht die Missbrauchsgefahr. 

Da der Einsatz der Drohnen im rein privaten Bereich 
erfolgt, halte ich das BDSG bei einer ausschließlich Ver- 
wendung als flugtechnisches Geschicklichkeitsspiel aller- 
dings nicht für anwendbar. Die Regelungen des Bundes- 
datenschutzgesetzes gelten nicht für Privafpersonen im 


rein privaten Bereich, zum Beispiel beim Einsatz von Vi- 
deotechnik zwischen Nachbarn. 

Wenn jemand das Gerät auf der Straße fliegen lässt und 
seinen Nachbarn ohne dessen Wissen fotografiert, muss 
dies nicht gegen das Datenschutzrecht verstoßen. Anders 
sieht es aus, wenn Behörden (vgl. o. Nr. 3. 3. 3. 2) oder Un- 
ternehmen mit der Kamera etwas ausspionieren, wenn 
unerlaubte Fotografien gemacht oder Drohnen kommer- 
ziell genutzt werden. Dann würde das Datenschutzrecht 
greifen. Die Abgrenzung ist in der Praxis sicherlich 
schwierig. 

Zivilrechtliche Unterlassungsansprüche mögen bestehen, 
setzen aber voraus, dass die Drohne bemerkt und dann 
auch noch einem konkreten Nutzer zugeordnet werden 
kann. Daher sehe ich bei der Durchsetzung der Abwehr- 
ansprüche erhebliche praktische Schwierigkeiten. 
Schließlich könnte der Einsatz der Flugdrohnen sogar 
strafrechtlich relevant sein, jedenfalls dann, wenn Auf- 
nahmen einen gegen Einblick besonders geschützten 
Raum betreffen. Dies könnte bereits bei der Überwindung 
eines Sichtschutzes mittels Drohne der Fall sein und als 
Verstoß gegen § 201a StGB gewertet werden, der mit 
Freiheitsstrafe bis zu einem Jahr oder mit Geldstrafe be- 
straft wird. 

Da es sich bei dem Einsatz von Flugdrohnen im privaten 
Bereich um ein aktuelles, bundesweit bestehendes Pro- 
blem handelt, erörtere ich die Thematik auch mit meinen 
Kollegen in den Ländern. Insbesondere gilt es, die Wei- 
terentwicklung dieser und technisch ähnlicher Geräte im 
Auge zu behalten. 

3.4 Besserer Datenschutz durch 
Selbstregulierung? 

Das vor mehr als zehn Jahren ins Bundesdatenschutzge- 
setz eingefügte Instrument der Selbstregulierung hat die 
damit verbundenen Erwartungen nicht erfüllt. Abgesehen 
von einem Sonderfall im Bereich der Presse ist es erst im 
Jahre 2012 zum ersten Mal gelungen, eine Selbstregulie- 
rung erfolgreich auf den Weg zu bringen. 

Mit Umsetzung der EG-Datenschutzrichtlinie 95/46/EG 
wurde es den Wirtschaftsverbänden durch § 38a BDSG 
ermöglicht, der zuständigen Aufsichtsbehörde Verhal- 
tensregeln (Codes of Conduct) vorzulegen. Damit ver- 
bunden war die Vorstellung, die Wirtschaft könnte die 
notwendigerweise allgemein gehaltenen Vorschriften des 
Bundesdatenschutzgesetzes konkretisieren, um damit den 
Datenschutz besser handhabbar zu machen. Dies sollte 
sowohl den verantwortlichen Stellen die Anwendung des 
Datenschutzrechts erleichtern, als auch den Betroffenen 
mehr Klarheit bei der Wahrnehmung ihrer Rechte ver- 
schaffen und die Tätigkeit der Aufsichtsbehörden verein- 
fachen. Dieser an sich zu begrüßende Ansatz hat sich in 
der Praxis bisher aber nicht durchgesetzt. Dies hat ver- 
schiedene Ursachen. 

ln Politik und Wirtschaft ist die Vorstellung weit verbrei- 
tet, die Selbstregulierung sei dazu gedacht, Defizite bei 
der Gesetzgebung auszugleichen und neue Regelungen 
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zur Erhebung, Verarbeitung und Nutzung personenbezo- 
gener Daten zu schaffen. Solche Überlegungen orientie- 
ren sich offensichtlich an Selbstverpflichtungen der Wirt- 
schaft in anderen Bereichen, in denen es noch keine 
gesetzlichen Regelungen gibt und aufgrund der Selbstre- 
gulierung auch nicht geben soll. Dies ist beim Daten- 
schutzrecht aber anders: § 38a BDSG soll kein neues Da- 
tenschutzrecht oder neue Befugnisse schaffen. Dies bleibt 
Aufgabe des Gesetzgebers. Selbstregulierung im Sinne 
von § 38a BDSG ist auf die Konkretisierung des beste- 
henden Datenschutzrechts beschränkt. 

Gerade in den letzten Jahren wurden datenschutzpoliti- 
sche Debatten über die Notwendigkeit der Anpassung 
datenschutzrechtlicher Rahmenbedingungen dadurch ab- 
gebrochen, dass die Politik - vor allem das Bundesminis- 
terium des Innern (BMI) - eine Selbstregulierung zur Lö- 
sung unübersehbarer Probleme in Aussicht gestellt hat. ln 
der jüngeren Vergangenheit gibt es gleich zwei Beispiele, 
in denen dieses Vorgehen ganz oder teilweise gescheitert 
ist: Beim so genannten Geodatenkodex des Branchenver- 
bandes BITKOM (vgl. 23. TB Nr. 4.1.3) und bei der ge- 
planten Selbstregulierung für soziale Netzwerke. 

Der Geodatenkodex sollte als Selbstverpflichtung der ent- 
sprechenden Unternehmen einen datenschutzgerechten 
Umgang mit so genannten Panoramadiensten (z. B. 
Google Street View oder Bing Street Side) sicherstellen. 
Das BMI wollte gesetzgeberisch die rote Linie festlegen, 
die beim Umgang mit personenbezogenen Daten im In- 
ternet nicht überschritten werden dürfe. Am Ende hatte 
sich die öffentliche Aufregung um die Angebote gelegt 
und es kam weder eine anerkannte Selbstregulierung 
noch das angekündigte „Rote-Linie-Gesetz“. Der Versuch 
des zuständigen Verbandes, Verhaltensregeln vorzulegen, 
die den gesetzlich vorgesehenen Standard sogar unter- 
schreiten, konnte nicht gut gehen. Der von der Wirtschaft 
schließlich in Kraft gesetzte Geodatenkodex wurde - an- 
ders als in § 38a BDSG vorgesehen - den Aufsichtsbe- 
hörden überhaupt nicht vorgelegt. Er genügt nicht einmal 
den gesetzlichen Anforderungen, wie die Datenschutz- 
aufsichtsbehörden festgestellt haben, und bleibt sogar 
hinter den Zusagen zurück, die die Firma Google für ih- 
ren Dienst „Streetview“ dem Hamburgischen Beauftrag- 
ten für den Datenschutz und die Informationsfreiheit ge- 
geben hatte. Anschließend hat sich der eigens zu diesem 
Zweck von der Wirtschaft gegründete Verein lange Zeit 
noch nicht einmal an seine eigenen Regeln gehalten, denn 
erst eineinhalb Jahre nach Unterzeichnung des Kodexes 
nahm die zentrale Anlaufstelle im September 2012 ihre 
Arbeit auf Inzwischen steht das Portal www.geodaten- 
dienstekodex.de zur Verfügung, fristet jedoch ein Schat- 
tendasein. 

Als im Jahre 2011 die öffentliche Debatte um den Daten- 
schutz in sozialen Netzwerken einen vorläufigen Höhe- 
punkt erreichte, ging das BMI wieder nach demselben 
Muster vor. Es ergriff die Initiative zur Schaffung einer 
Selbstregulierung. Seitdem beraten verschiedene Bran- 
chenvertreter über einen Kodex für den Datenschutz in 
sozialen Netzwerken. Die Arbeiten an diesen Verhaltens- 
regeln kommen indes kaum voran. 


Es gibt aber auch erfolgreichere Beispiele der Selbstregu- 
lierung: 

Eher unbemerkt von der Öffentlichkeit berät eine Arbeits- 
gruppe der Kommission für Geoinformationswirtschaft 
(GlW-Kommission) und der Konferenz der Datenschutz- 
beauftragten des Bundes und der Länder über einen 
GeoBusiness Code of Conduct. Zweck dieser Selbstregu- 
lierungsinitiative ist es, für Unternehmen, die Geoinfor- 
mationen von der öffentlichen Hand bekommen, einheit- 
liche und standardisierte Regeln zum Umgang mit diesen 
Informationen zu schaffen und damit die allgemeinen ge- 
setzlichen Bestimmungen zu konkretisieren. Gleichzeitig 
soll den bereitstellenden Verwaltungen eine Orientie- 
rungshilfe gegeben werden, um ihnen die Auslegung der 
einschlägigen datenschutzrechtlichen Bestimmungen zu 
erleichtern. Der Code of Conduct konnte allerdings bisher 
nicht der zuständigen Aufsichtsbehörde vorgelegt wer- 
den, weil es von einzelnen Datenschutzbehörden noch 
Vorbehalte gibt. Dies zeigt ein weiteres Dilemma von 
Selbstregulierung auf: Die föderale Struktur der Daten- 
schutzaufsicht macht die Einführung bundesweit aner- 
kannter Verhaltensregeln zuweilen zu einem mühsamen 
und langwierigen Prozess. 

Als bisher einziges erfolgreiches Beispiel einer Selbstre- 
gulierung kann der Code of Conduct der Versicherungs- 
wirtschaft angesehen werden (vgl. Nr. 10.4). 

Als Fazit bleibt festzuhalten: Selbstregulierung im Sinne 
von § 38a BDSG kann nur dann erfolgreich sein, wenn 
sich die Wirtschaft im Dialog mit den Aufsichtsbehörden 
konstruktiv und ernsthaft im Sinne der Förderung des Da- 
tenschutzes in bestimmten Sektoren einsetzt. Dies ist ein 
zeitlich und inhaltlich anspruchsvolles und sorgfältig zu 
planendes Unterfangen. Wer Selbstregulierung als „Blitz- 
ableiter“ zur Befriedung datenschutzpolitischer Debatten 
oder als Ersatz für notwendige gesetzgeberische Aktivitä- 
ten einsetzt, verhindert nicht bloß sinnvolle datenschutz- 
rechtliche Lösungen, sondern diskreditiert das Instrument 
selbst. 

3.5 Transparenz - auch bei Datenschutz- 
pannen! 

Auch wenn beim Datenschutz gilt, Vorbeugen ist besser 
als heilen, lassen sich doch Datenpannen nicht völlig aus- 
schließen. Ob aus Nachlässigkeit oder vorsätzlich: Wenn 
personenbezogene Daten abhanden kommen, kann dies 
erhebliche Nachteile für die Betroffenen und wirtschaftli- 
che Schäden für die veranfwortliche Stelle mit sich 
bringen. Öffentliche Stellen und Unternehmen tun sich 
trotzdem schwer, angemessen mit derartigen Vorfällen 
umzugehen. Seit mehreren Jahren wird deshalb auf natio- 
naler, europäischer und internationaler Ebene daran gear- 
beitet, hier für mehr Transparenz zu sorgen. Dabei ver- 
spricht man sich von den Meldepflichten zweierlei: Zum 
einen sollen die verantwortlichen Stellen dazu angehalten 
werden, sich intensiver um IT-Sicherheit und Datenschutz 
zu kümmern. Zum anderen sollen die Betroffenen in die 
Lage versetzt werden, Gegenmaßnahmen zu treffen, 
Schäden zu erkennen und zu begrenzen. 
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3.5.1 Datendiebstahl - verhindern, 
erschweren, entdecken 

Daten - ob personenbezogen oder nicht - sind begehrt 
und stellen ein Handelsgut dar. Betroffene Stellen ergrei- 
fen oft erst dann Maßnahmen zur „Data Leakage Preven- 
tion wenn sich ein Datendiebstahl ereignet hat. 

Ende 2012 wurde im Bundesministerium der Gesundheit 
ein sehwerer Datendiebstahl bekannt, bei dem mutmaß- 
lieh ein Administrator seine Befugnisse missbraueht hat. 
Die Ermittlungen laufen noeh. Bereits im 15. TB 
(Nr. 30.7) hatte ieh auf die „Allmaeht“ des Systemver- 
walters hingewiesen und versehiedene Maßnahmen emp- 
fohlen, um dessen Arbeiten kontrollierbar und transparent 
zu maehen, damit entspreehende Missbrauehsfälle über- 
haupt entdeekt und nachgewiesen werden können. Aus 
gegebenem Anlass möchte ich nochmals eine Reihe von 
Punkten auflisten, die helfen können, eine Datendiebstahl 
zu erschweren oder zumindest frühzeitig zu entdecken. 
Bei allen hier genannten Maßnahmen und besonders beim 
Einsatz von speziellen Data Leakage Prevention- Syste- 
men sind immer auch Fragen des Beschäftigtendaten- 
schutzes (vgl. Nr. 13f.) zu berücksichtigen. 

Privilegierte oder administrative Berechtigungen umfas- 
sen weitergehende Zugriffsberechtigungen auf IT-Sys- 


teme, Softwarekomponenten oder Daten, als arbeitstäg- 
lich erforderlich sind. Grundsätzlich sollten umfassende 
(privilegierte) Berechtigungen nur solchen Rollen, Grup- 
pen oder Personen zugewiesen werden, die überwiegend 
mit der Administration von IT betraut sind. Die Zugehö- 
rigkeit der Mitglieder einer Gruppe muss nachweisbar 
und revisionssicher dokumentiert sein; bei Änderung der 
Tätigkeiten müssen die Berechtigungskonzepte aktuali- 
siert werden. Berechtigungskonzepte sollten bei Aktuali- 
sierung der Sicherheitskonzepte (mindestens jährlich) auf 
Plausibilität und Notwendigkeit überprüft werden. Zu- 
dem wird empfohlen, die Systemprotokolle, die die Ar- 
beit der Administratoren dokumentieren, regelmäßig zu 
überprüfen. Weiter rege ich an, die einschlägigen IT-Si- 
cherheitsempfehlungen aus den Grundschutzkatalogen 
des BSl zu beachten und umzusetzen (vgl. Kasten zu 
Nr. 3.5.1) 

Sicherheitsvorfalle, die auf krimineller Energie beruhen, 
lassen sich trotz aller erdenklichen Sicherheitsmaßnah- 
men nicht verhindern. Das Risiko einer Entdeckung kann 
einzelne Täter abschrecken. Um Manipulationen früh zu 
entdecken und den unerwünschten Abfluss von Daten zu 
begrenzen, sollten im IT-Betrieb Kontrollmaßnahmen 
(spontan und periodisch) durchgeführt werden. 


Kasten zu Nr. 3.5.1 


Folgende Sicherheitsempfehlungen des IT-Grundschutzes beschäftigen sich mit dieser Thematik: 

- Funktionstrennung: Die Aufgabenverteilung und die hierfür erforderlichen Funktionen (vgl. M 2.5 Aufgabenver- 
teilung und Funktionstrennung) sind so zu strukturieren, dass operative und kontrollierende Funktionen auf ver- 
schiedene Personen verteilt werden, um Interessenskonflikte bei den handelnden Personen zu minimieren oder 
ganz zu verhindern. 

- Rollen: Die Zuordnung von Personen oder Personengruppen zu Rollen erleichtert die Verwaltung von Berechti- 
gungen (vgl. M 2.8 Vergabe von Zugriffsrechten). 

- Restriktive Rechte vergäbe: Werden an Mitarbeiter besonders weitgehende Rechte vergeben (z. B. an Administra- 
toren), so sollte dies möglichst restriktiv erfolgen (vgl. M 2.220 Richtlinien für die Zugriffs- bzw. Zugangskon- 
trolle). Hierbei ist zum einen der Kreis der privilegierten Benutzer möglichst einzuschränken und zum anderen 
sind nur die für die Durchführung der Arbeit benötigten Rechte zu vergeben. Für alle Aufgaben, die ohne erwei- 
terte Rechte durchgeführt werden können, sollten auch diese privilegierten Benutzer unter einer Kennung mit 
Standardrechten arbeiten. Insbesondere bei Aushilfskräften und externen Dienstleistem ist darauf zu achten, dass 
diese nur die Dienste verwenden und nur auf die Daten zugreifen dürfen, die sie tatsächlich benötigen. 

- Erforderlichkeitsprinzip („Need to know“): Durch Anwendung des Need to Know Prinzips und des Vier Augen 
Prinzips ist sicherzustellen, dass Berechtigungen auf den verschiedenen Ebenen (z. B. Zutritt zu Räumen, Zugang 
zu Informationssystemen) zielgerichtet vergeben werden und auch praktikabel sind (vgl. M 2.6 Vergabe von Zu- 
trittsberechtigungen und M 2.7 Vergabe von Zugangsberechtigungen). 

- Vertrauenswürdigkeit des Personals: Bei sicherheitskritischen Betriebsumgebungen empfiehlt es sich, die Mitar- 
beiter auf die besonderen Datenschutz- und Sicherheitsvorgaben zu verpflichten und die Vertrauenswürdigkeit be- 
stätigen zu lassen (vgl. M 3.33 Sicherheitsüberprüfung von Mitarbeitern). Besonderes Gewicht ist hierbei auf die 
Vertrauenswürdigkeit von Personen mit besonderen Funktionen und Berechtigungen zu legen (vgl. M 3.10 Aus- 
wahl eines vertrauenswürdigen Administrators und Vertreters). Um Mitarbeiter entsprechend ihrer Qualifikatio- 
nen und Kompetenzen einsetzen zu können, sollte es ein Personalkonzept geben (vgl. M 3.51 Geeignetes Konzept 
für Personaleinsatz und -qualifiziemng). Dazu gehört die Analyse sicherheitsrelevanter personeller Faktoren (vgl. 
M3.83). 
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- Arbeit von und mit Externen: Wenn Externe für die Institution Aufgaben übernehmen, bei denen sie Zugriff auf 
vertrauliche Daten erhalten können, müssen hierfür geeignete Regelungen getroffen werden (vgl. M 2.226 Rege- 
lungen für den Einsafz von Fremdpersonal). Dies beginnt mit dem Abschluss von Vertraulichkeitsvereinbarungen 
(vgl. M 3.55 Vertraulichkeitsvereinbarungen). Aktionen Betriebsfremder sollten kontrolliert und protokolliert 
werden (vgl. M 2.16 Beaufsichtigung oder Begleitung von Fremdpersonen). Auch bei der Auswahl geeigneter ex- 
terner Dienstleister müssen diverse Sicherheits- und Datenschutzaspekte beachtet werden (vgl. M 2.252 Wahl ei- 
nes geeigneten Outsourcingdienstleisters), aber auch bei der Beendigung von Verträgen mit Externen (vgl. 
M 2.307 Geordnete Beendigung eines Outsourcing-Dienstleistungsverhältnisses). Externe Administratoren sollten 
nicht dauerhaft unbeaufsichtigt an sicherheitsrelevanten IT-Systemen arbeiten, durch qualifizierte interne Mitar- 
beiter sollten zumindest sporadisch deren Tätigkeiten gesichtet werden. 

- Privilegierte Rollen: Personen mit so genannten privilegierten Rollen wie Administratoren haben weitgehende Zu- 
griffsrechte und gleichzeitig ein umfassendes Fachwissen. Auch um Administratoren vor Verdächtigungen zu 
schützen, sollten die Rechte so restriktiv wie möglich vergeben werden und Arbeiten unter privilegierten Berech- 
tigungen protokolliert werden. Es sollte keine Person geben, die Zugriffsberechtigungen auf alle Systeme hat (vgl. 
M 2.38 Aufteilung der Administrationstätigkeiten). 

- Berechtigungen dokumentieren und kontrollieren: Berechtigungen sind zu dokumentieren. 

- Kein Zugriff ohne Authentisierung: Der Zugriff auf alle IT-Systeme und Dienste muss durch sichere Verfahren zur 
Identifikation und Authentisierung des zugreifenden Benutzers abgesichert werden. 

- Sicherheitsvorfälle: Trofz aller Sicherheifsvorkehrungen können Sicherheifsvorfälle nie ganz ausgeschlossen wer- 
den. Daher muss eine Vorgehensweise aufgebaut werden, um mit Sicherheitsvorfällen im Akutfall vernünftig um- 
gehen zu können (vgl. M 6.58 Etablierung einer Vorgehensweise zur Behandlung von Sicherheitsvorfällen). Ne- 
ben der Festlegung der Rollen, Verantwortlichkeiten und Verhaltensregeln müssen für die effektive Behandlung 
von Sicherheitsvorfällen die Betroffenen richtig mit deren Auswirkungen umgehen und Vorfälle unverzüglich 
melden (vgl. M 6.60 Festlegung von Meldewegen für Sicherheifsvorfälle). 


3.5.2 Meldepflicht bei Datenschutzpannen 

Die Infonnationspflicht bei Datenpannen hat sich grund- 
sätzlich bewährt. Eine von mir durchgeflihrte bundes- 
weite Erhebung über die gemeldeten Fälle zeigt, dass die 
Meldepflicht von den verantwortlichen Stellen ernst ge- 
nommen wird. Angesichts zahlreicher Datenpannen bei 
öffentlichen Stellen sollte auch der öffentliche Bereich 
meldepflichtig werden. 

Seit dem 1. September 2009 müssen nicht-öffentliche 
Stellen und ihnen gleich gestellte öffentlich-rechtliche 
Wettbewerbsuntemehmen gravierende Datenschutzpan- 
nen der zuständigen Aufsichtsbehörde anzeigen sowie die 
Betroffenen informieren und ihnen Handlungsempfehlun- 
gen unterbreiten. § 42a BDSG sieht eine solche Informa- 
tionspfiicht vor, wenn sensible Daten unrechtmäßig in die 
Hände Dritter gelangt sind und schwerwiegende Beein- 
trächtigungen für die Betroffenen drohen. Bei einem Ver- 
stoß droht ein Bußgeld von bis zu dreihunderttausend 
Euro oder mehr. 

Die Regelung hat sich - trotz einer wahrscheinlich hohen 
Dunkelziffer nicht gemeldeter Vorfälle - bewährt. Die 
Publizitätspflicht motiviert die verantwortlichen Stellen, 
mehr für die Datensicherheit und den Datenschutz zu tun; 
zugleich versetzt sie die Betroffenen in die Lage, negative 
Konsequenzen frühzeitig zu erkennen und Sicherheits- 
maßnahmen zu ergreifen. 

Nach einer bundesweiten Erhebung unter den Aufsichts- 
behörden, die ich nach Ablauf der ersten 18 Monate seit 


Inkrafttreten der Informationspflicht durchgeführt habe, 
wurden fast 90 Fälle gemeldet, davon vier in meinem Zu- 
ständigkeitsbereich. Ganz überwiegend handelte es sich 
um Bankverbindungs- und Kreditkartendaten, die den 
verantwortlichen Stellen durch Diebstahl oder Verlust 
von Datenträgern, durch Fehlversendungen von E-Mails 
und Briefen, durch fehlerhafte Zugriffsmöglichkeiten auf 
Online-Mitgliederseiten oder durch Hacking abhanden 
gekommen sind. Zum Teil waren auch besonders sensible 
Informationen wie Gesundheitsdaten betroffen. 

Das Risiko des Abhandenkommens sensibler Daten be- 
steht bei Unternehmen und Behörden gleichermaßen. 
Dies belegen zahlreiche Vorfälle aus der jüngeren Ver- 
gangenheit, etwa der Hackerangriff auf die Server des 
Zolls im Sommer 2011 oder die Datenspionage durch ei- 
nen externen IT-Mitarbeiter im Bundesministerium der 
Gesundheit im Herbst 2012 (vgl. Nr. 3.5.1). Es ist für 
mich nicht nachvollziehbar, warum öffentliche Stellen 
bislang von der Informationspfiicht ausgeschlossen sind. 
Dass es auch anders geht, zeigt beispielsweise das Berli- 
ner Datenschutzgesetz, das seit dem Jahr 2011 die Infor- 
mationspfiicht bei Datenpannen auf die Berliner Landes- 
verwaltung erstreckt. Der Bund sollte diesem guten 
Beispiel folgen, zumal er auch hier einmal mehr von den 
Modemisierungsbestrebungen auf europäischer Ebene 
eingeholt zu werden droht: Auch der Entwurf der Euro- 
päischen Kommission für eine europaweit einheitliche 
Datenschutz-Grundverordnung (vgl. Nr. 2.1) sieht eine 
Informationspflicht bei Datenpannen für den öffentlichen 
und den nicht-öffentlichen Bereich gleichermaßen vor. 
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3.5.3 Meldepflicht mit einigen Tücken - 
der neue § 109a TKG 

Anbieter öffentlich zugänglicher Telekommunikations- 
dienste sind seit Mai 2012 verpflichtet, Vorfälle, die zu 
einer Verletzung von personenbezogenen Daten führen, 
gegenüber den Aufsichtsbehörden und - unter gewissen 
Umständen - den Betroffenen anzuzeigen. Die praktische 
Umsetzung der gesetzlichen Vorgaben ist allerdings nicht 
immer unproblematisch. 

Im Rahmen der Novellierung des Telekommunikations- 
gesetzes (vgl. Nr. 6.4) wurde auch eine neue europäische 
Vorschrift (Artikel 4 Absatz 3 bis 5 E-Privacy-Richtlinie) 
zur Meldung von Datenschutzvorfallen bei Telekommu- 
nikationsanbietem in deutsches Recht umgesetzt. Die bis 
dahin über den Verweis des § 93 Absatz 3 TKG a. F. gel- 
tende Informationspflicht des § 42a BDSG (vgl. 
Nr. 3.5.2) wurde durch § 109a TKG ersetzt. Auch wenn 
die beiden Vorschriften im Hinblick auf die grundsätzli- 
che Ausrichtung ähnlich sind, liegen im Detail doch gra- 
vierende Unterschiede. 

§ 109a TKG regelt das Verfahren, das ein Anbieter öf- 
fentlich zugänglicher Telekommunikationsdienste befol- 
gen muss, sobald er eine Datenschutzverletzung festge- 
stellt hat. Zunächst hat eine Meldung sowohl gegenüber 
der Bundesnetzagentur als auch beim BfDI zu erfolgen. 
Die Meldung muss immer - unabhängig von den konkre- 
ten Umständen des zu meldenden Vorfalls - erfolgen und 
ist im Gegensatz zu § 42a BDSG unbeschränkt, so dass 
auch kleinere Vorfälle mit potentiell weniger schweren 
Auswirkungen mitgeteilt werden müssen. 

Um dieses Verfahren für die meldepflichtigen Unterneh- 
men zu vereinfachen, hat die Bundesnetzagentur in Ab- 
sprache mit mir Leitlinien erstellt, die das Verfahren er- 
läutern. 

Nach der obligatorischen Meldung des Vorfalls muss der 
Telekommunikationsanbieter in einem weiteren Schritt 
prüfen, ob zusätzlich noch die von der Datenschutzverlet- 
zung Betroffenen zu informieren sind. Dies hat immer 
dann zu geschehen, wenn Betroffene durch den Vorfall 
schwerwiegend in ihren Rechten oder schutzwürdigen In- 
teressen beeinträchtigt sein können. Eine Ausnahme 
kommt lediglich dann in Betracht, wenn die betroffenen 
Daten durch geeignete technische Vorkehrungen, wie 
z. B. ein als sicher anerkanntes Verschlüsselungsverfah- 
ren, vor einer unberechtigten Kenntnisnahme geschützt 
sind. Schließlich legt § 109a TKG den Unternehmen noch 
die Verpflichtung auf, ein Verzeichnis zu führen, in dem 
sämtliche meldepflichtigen Vorfälle der letzten fünf Jahre 
aufzuführen und Angaben zu den Umständen und Aus- 
wirkungen der Verletzungen sowie zu den ergriffenen 
Abhilfemaßnahmen festzuhalten sind. 

Im Grundsatz befürworte ich die Meldepflicht von Daten- 
schutzvorfällen. Zum einen muss sich das Unternehmen 
mit einem Vorfall auseinandersetzen, zum anderen wer- 
den die Risiken für die Betroffenen durch entsprechende 
Vorschriften transparent und sie können so mit der Situa- 
tion oft einfacher umgehen. Nicht zuletzt erhalten die Da- 
tenschutzaufsichtsbehörden einen besseren Überblick und 


können bei einer Häufung von Vorfällen bei einem be- 
stimmten Unternehmen ihre Aufsichtstätigkeit zielgerich- 
teter und somit effizienter ausüben. 

Allerdings haben sich bei der praktischen Anwendung der 
Vorschrift bereits nach kurzer Zeit verschiedene Pro- 
bleme aufgetan. 

Die schwellenlose Meldepflicht soll theoretisch dazu füh- 
ren, dass sämtliche Datenschutzvorfälle bekannt werden 
und aufgearbeitet werden können. Wie sich in der Praxis 
allerdings zeigt, ist die Zahl der die Aufsichtsbehörden 
erreichenden Mitteilungen bereits nach kürzester Zeit 
massiv angestiegen. Zumindest mittelfristig kann mögli- 
cherweise eine sinnvolle Bearbeitung der Meldungen 
ohne eine massive Aufstockung des zur Verfügung ste- 
henden Personals nicht mehr gewährleistet werden. Wei- 
tere Probleme liegen in der teils nicht schlüssigen Formu- 
lierung der gesetzlichen Vorgaben. Bereits die Frage, 
wann eine Verletzung des Schutzes personenbezogener 
Daten vorliegt, birgt Streitpotential. So ist es nach der Le- 
galdefinition einer Datenschutzverletzung in § 3 Num- 
mer 30a TKG zumindest fraglich, ob eine solche über- 
haupt vorliegen kann, wenn die Daten entsprechend 
§ 109a Absatz 1 Satz 3 TKG durch geeignete technische 
Vorkehrungen gesichert sind und somit eine unrechtmä- 
ßige Verwendung grundsätzlich ausgeschlossen ist. 
Würde eine Datenschutzverletzung in diesen Fällen aber 
verneint, entfiele zwangsläufig die Meldepflicht an die 
Aufsichtsbehörden, was im Widerspruch zu der Gesetzes- 
systematik stünde. Danach soll ja gerade die Aufsichtsbe- 
hörde entscheiden, ob die implementierten technischen 
Vorkehrungen den Anforderungen genügen und somit 
eine Benachrichtigung der Betroffenen entbehrlich ma- 
chen. 

Ich gehe davon aus, dass die praktischen Erfahrungen zur 
Optimierung des Verfahrens beitragen können. In enger 
Zusammenarbeit mit der Bundesnetzagentur werde ich 
auf nationaler und auf europäischer Ebene an Lösungs- 
vorschlägen arbeiten, die zu einer besseren Umsetzbar- 
keit der gesetzlichen Vorgaben beitragen. Einzelne Pro- 
jekte sind bereits angelaufen. So habe ich mit der 
Bundesnetzagentur einen Meldebogen entworfen, der den 
meldepflichtigen Unternehmen über die Websites der Be- 
hörden zur Verfügung gestellt wird und somit das Melde- 
verfahren vereinfacht. Ebenso beteilige ich mich an ei- 
nem Projekt, bei dem die Artikel-29-Gruppe zusammen 
mit der Europäischen Agentur für Netz- und Informati- 
onssicherheit (ENISA) ein Verfahren zur Bestimmung der 
Schwere von Datenschutzverstößen entwickelt (vgl. 
Nr. 2.4.4). Bereits im Zusammenhang mit der Meldung 
soll ersichtlich werden, wie gravierend ein Datenschutz- 
vorfall tatsächlich ist und somit - gerade aufgrund der zu 
erwartenden großen Anzahl von eingehenden Meldungen - 
den Aufsichtsbehörden ein Mittel zur Priorisierung der 
Bearbeitung an die Hand geben. 

3.6 Was lange währt, wird nicht immer gut - 
Stiftung Datenschutz 

Lange hat die Bundesregierung um die Konzeption der 
Stiftung Datenschutz gerungen - das Ergebnis ist enttäu- 
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sehend. Ich habe daher, wie auch die Datenschutzbehör- 
den der Länder, auf eine Mitwirkung im Stiftungsbeirat 
vorerst verzichtet. 

Die im Koalitionsvertrag von 2009 vorgesehene Stiftung 
Datenschutz, die Produkte und Dienstleistungen auf ihre 
Datenschutzfreundlichkeit hin prüfen, Bildung im Be- 
reich des Datenschutzes stärken, den Selbstdatenschutz 
durch Aufklärung verbessern und ein Datenschutzaudit 
entwickeln sollte, hat noch immer nicht ihre Arbeit aufge- 
nommen. Die Satzung der Stiftung Datenschutz, auf die 
sich die Bundesregierung erst nach langwierigen Ver- 
handlungen geeinigt hat, lässt zweifeln, ob sie nach der- 
zeitiger Konzeption ihren Aufgaben sachgerecht nach- 
kommen kann. 

Immer wieder (vgl. 23. TB Nr. 2.5) habe ich ausgeführt, 
dass ich die Idee der Stiftung Datenschutz begrüße, die 
personelle und finanzielle Unabhängigkeit der Stiftung 
von der Daten verarbeitenden Wirtschaft aber für unver- 
zichtbar halte. Diese unerlässlichen strukturellen Rah- 
menbedingungen der Stiftungsarbeit habe ich in einem im 
Februar 2011 veröffentlichten Diskussionspapier erneut 
betont und vertieft dargelegt. Diese Überlegungen sind 
auf meiner Intemetseite www.datenschutz.bund.de unter 
dem Suchbegriff „Diskussionspapier“ abrufbar. 

Leider haben meine Vorschläge, wie auch die zahlreichen 
Gesprächsangebote der Konferenz der Datenschutzbeauf- 
tragten des Bundes und der Länder, kein Gehör gefunden. 
Anders ist es nicht erklärbar, dass die Stiftung Daten- 
schutz nach der jetzigen Konzeption maßgeblich auf Zu- 
stiftungen aus der Wirtschaft angewiesen ist und den 
Wirtschafts- und wirtschaftsnahen Vertretern im Stif- 
tungsbeirat ein deutliches Übergewicht einräumt. Ver- 
brauchervertrauen in die Datenschutzkonformität von 
Produkten und Dienstleistungen lässt sich so nicht her- 
stellen. Es steht vielmehr zu befürchten, dass die Daten 
verarbeitende Wirtschaft ihren Einfluss auf die Stiftung 
nutzt, um unter dem Deckmantel einer Bundesstiftung 
werbewirksame, aber wenig aussagekräftige Gütesiegel 
zu entwickeln. 

Bislang lässt sich auch nicht absehen, ob und unter wel- 
chen Bedingungen die Stiftung die Ergebnisse von Daten- 
schutzauditierungen, die von dritter Seite durchgeführt 
werden sollen, im Nachhinein auf Stichhaltigkeit prüfen 
und notfalls korrigieren kann. Dies ist besonders proble- 
matisch, weil es die Datenschutzbehörden sind, die in der 
täglichen Aufsichtspraxis mit möglicherweise allzu groß- 
zügig vergebenen Datenschutz-Gütesiegeln konfrontiert 
werden. 

Ich habe daher im Einvernehmen mit den Datenschutzbe- 
auftragten der Länder, denen die Stiftungssatzung eben- 
falls zwei Entsendungsrechte in den Stiftungsbeirat ein- 
räumt, auf eine Mitwirkung im Beirat der Stiftung vorerst 
- bis zu einer befriedigenden Neukonzeption - verzichtet. 

4 Technologischer Datenschutz 

Datenschutz ist ganz wesentlich eine Reaktion auf tech- 
nologische Herausforderungen. Deshalb gibt es in diesem 
Tätigkeitsbericht wohl kein Thema, bei dem die Informa- 


tionstechnik keine Rolle spielt, ln diesem Kapitel werden 
Projekte und Themen behandelt, bei denen technologi- 
sche Fragen im Vordergrund stehen. Das sind zum einen 
Großprojekte wie die elektronische Gesundheitskarte 
oder das unlängst unsanft entschlafene ELENA-Projekt, 
das die Verarbeitung elektronischer Gehaltsnachweise 
zum Gegenstand hatte. Zum anderen werden technische 
Querschnittsthemen behandelt, die nahezu überall eine 
Rolle spielen, etwa die Anforderungen an ein sicheres 
Löschen von Daten. 

4.1 Elektronische Gesundheitskarte endiieh 
in Sicht? 

Nach Jahren der Stagnation hat die Einführung der elek- 
tronischen Gesundheitskarte endlich an Fahrt aufgenom- 
men. Zur Förderung der Organspendebereitschaft der 
deutschen Bevölkerung kann die Karte einen wesentli- 
chen Beitrag leisten. 

Nicht nur Flughafen- und Bahnhofsprojekte ziehen sich 
länger hin als angekündigt. Gleiches gilt auch für an- 
spruchsvolle Informatikvorhaben wie die elektronische 
Gesundheitskarte (eGK). 

Obwohl die jetzige Krankenversichertenkarte nach 
§ 291a SGB V bis spätestens zum 1. Januar 2006 zu einer 
elektronischen Gesundheitskarte (eGK) erweitert werden 
sollte, gibt es diese heute nicht, zumindest nicht mit den 
versprochenen Leistungsmerkmalen. Nachdem die für die 
Entwicklung der eGK zuständige gematik 2010 ent- 
schieden hatte, dass die Leistungserbringer für die medi- 
zinischen Anwendungen und die Kostenträger für die 
administrativen Anwendungen jeweils die alleinige Ver- 
antwortung übernehmen sollten (vgl. 23. TB Nr. 3.4), ei- 
nigte man sich auch darauf, zunächst nur folgende An- 
wendungen einzuführen: 

- ein online gestütztes Versichertenstammdatenmanage- 
ment (VSDM) 

- die Einführung eines Notfalldatensatzes (NFDM) 

- die adressierte Kommunikation der Leistungserbringer 
(KOM-LE) 

Nach dieser Neuorientierung wurden die Projektstruktu- 
ren bei der gematik neu verteilt und die Lasten- und 
Pfiiehtenhefte erarbeitet. Unabhängig davon startete der 
Basis-Rollout der eGK. Bis zum Ende des Berichtszeit- 
raumes waren ca. 70 Prozent der Versicherten, d. h. ca. 
50 Millionen Versicherte in Deutschland, in Besitz der 
neuen eGK, die sich aber von der alten Krankenversicher- 
tenkarte nur durch die Aufnahme eines Lichtbildes und 
eines Speicherchips unterscheidet. 

Der Anwendungsbereich der eGK wurde zum 1 . Novem- 
ber 2012 durch das Gesetz zur Regelung der Entschei- 
dungslösung im Transplantationsgesetz (s. o. Nr. 11.5.5) 
erweitert: die eGK soll bei der Förderung der Organspen- 
debereitschaft der deutschen Bevölkerung eingesetzt wer- 
den. Nach dem geänderten § 291a Absatz 3 SGB V soll 
die eGK zum einen die Erklärungen der Versicherten zur 
Organ- und Gewebespende und zum anderen die Hin- 
weise der Versicherten auf das Vorhandensein und den 
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Aufbewahrungsort von solchen Erklärungen aufnehmen 
können; Letzteres gilt auch für Vorsorgevollmachten oder 
Patientenverfugungen. Da die Aufnahme der vollen Er- 
klärung mit den derzeit ausgegebenen Karten technisch 
nicht möglich ist, dürfte dies frühestens im Jahre 2016 in 
Betracht kommen. Mit entsprechenden Testen könnte be- 
reits im Jahre 2014 begonnen werden; vorher dürfte 
schon der Test zur Aufnahme von Hinweisen starten. Im 
Rahmen der parlamentarischen Beratungen ist auch dis- 
kutiert worden, ob den Krankenkassen ein einmaliges 
Schreibrecht auf der eGK eingeräumt werden soll, um da- 
durch die Hinweise der Versicherten auf der eGK zu do- 
kumentieren. Dies könnte deshalb sinnvoll sein, da alle 
Krankenkassen ihre Versicherten anschreiben und über 
die Organspende informieren müssen. Ein solches einma- 
liges Schreibrecht könnte ich aus datenschutzpolitischer 
Sicht akzeptieren, um eine Beschleunigung und Erhö- 
hung der Bereitschaft der Bevölkerung zur Abgabe der 
Organspendeerklärung zu erreichen. Dabei muss aber si- 
chergestellt sein, dass die Datenschutz- und Datensicher- 
heitsstandards der eGK gewahrt bleiben und insbesondere 
technisch abgesichert wird, dass die Krankenkassen keine 
anderen Zugriffsrechte auf medizinische Daten erhalten. 

Die ebenfalls zeitweise diskutierte Einrichtung eines zen- 
tralen Registers aller entsprechenden Erklärungen lehne 
ich ab. Der Gesetzgeber hat die gematik mit der Erstel- 
lung eines Berichtes beauftragt, der die Verfahren zur Un- 
terstützung der Versicherten bei der Verwaltung ihrer Da- 
ten zur Organ- und Gewebespende beschreiben soll. 
Dieser Bericht muss dem Deutschen Bundestag bis zum 
30. Juni 2013 vorgelegt werden. Mit Interesse sehe ich 
den dort vorgeschlagenen Verfahren entgegen. Auch in 
Zukunft werde ich ein kritischer, aber auch konstruktiver 
Akteur bei der Einführung der eGK bleiben. 

4.2 Elektronische Einkommensnachweise - 
Neue Lösungen für alte Probleme? 

Auch in den vergangenen zwei Jahren hatte ich mich in- 
tensiv mit Projekten zu beschäftigen, die den Umgang mit 
Einkommensnachweisen erleichtern sollen. Das über 
mehr als zehn Jahre entwickelte Projekt ELENA, das im- 
mer wieder Gegenstand erbitterter öffentlicher Debatten 
war, wurde 2011 endgültig beerdigt. Das „Erbe“ sollen 
zwei neue Projekte (Bea und OMS) antreten. Es ist zu 
hoffen, dass die Projektverantwortlichen für diese Nach- 
folgeverfahren nicht wie bei ELENA dabei stehen blei- 
ben, das immer schwieriger zu handhabende System elek- 
tronischer Einkommensnachweise mit mehr als hundert 
unterschiedlichen Einkommensbegriffen und vielfältigen, 
teilweise zweifelhaften Übermittlungspraktiken elektro- 
nisch abzubilden. Vielmehr muss untersucht werden, wie 
sich dieses komplexe System vereinfachen lässt. Ein 
positiver Nebeneffekt könnten dabei Lösungen sein, die 
mit weniger Daten und reduzierten Datenübermittlungen 
auskommen. 

4.2.1 Das Ende des ELENA-Verfahrens - 
unsanft entschlafen 

Das ELENA-Verfahren, wurde im Jahr 2011 beendet. Al- 
lerdings gilt auch hier vielleicht das Sprichwort: ,, Wo 


sich eine Tür schließt, geht eine andere Tür (hier: zwei 
Türen) wieder auf“. 

Über das Verfahren „Elektronischer Entgeltnachweis 
(ELENA-Verfahren)“, das ursprünglich einmal „JobCard- 
Verfahren“ hieß, habe ich seit meinem 20. TB regelmäßig 
berichtet (20. TB Nr. 4.1. 1.1, zuletzt 23. TB Nr. 11.1.3.). 
Seit dem 1. Januar 2010 wurde eine große Anzahl von 
Entgeltbescheinigungsdaten aller Beschäftigten in 
Deutschland in einer riesigen Datenbank gespeichert. Im 
Jahr 2011 wurde das Verfahren - für manchen unerwartet - 
schließlich von den zuständigen Ministerien beendet und 
das entsprechende Gesetz durch den Bundestag aufgeho- 
ben. 

Das Verfahren stand stets - auch aus datenschutzrechtli- 
chen Gründen - in der Kritik. Das Bundesverfassungsge- 
richt nahm 2010 mehrere Verfassungsbeschwerden von 
Arbeitgebern an, zu denen ich eine gutachterliche Stel- 
lungnahme abgegeben habe. Bevor es aber eine Entschei- 
dung über die Verfassungsmäßigkeit des ELENA-Verfah- 
rens treffen konnte, beschloss die Bundesregierung 2011, 
das ELENA-Verfahren möglichst schnell zu beenden. Be- 
gründet wurde dies damit, dass sich die aus Datenschutz- 
gründen erforderlichen Signaturkarten nicht schnell 
genug verbreiten würden. Die Verfassungsbeschwerde- 
verfahren wurden mittlerweile eingestellt. Ich bedauere 
es, dass damit die Frage der Verfassungsmäßigkeit des 
ELENA-Verfahrens, die ein Jahrzehnt lang die Diskus- 
sion begleitet hat, nicht höchstrichterlich beantwortet 
wurde. 

Der Gesetzgeber hob die ELENA betreffenden gesetzli- 
chen Regelungen durch Gesetz vom 23. November 2011 
(BGBl. 1 S. 2298) auf, das am 3. Dezember 2011 in Kraft 
trat. Bereits drei Tage später habe ich den Datenbank- 
hauptschlüssel vernichtet. Nur mit diesem digitalen 
Schlüssel war der Zugriff auf die in der ersten Phase des 
Projekts bereits seit 2010 verschlüsselt gespeicherten Ent- 
geltdaten von mehr als 35 Millionen Arbeitnehmern mög- 
lich. Sowohl die Datenstelle der Träger der Rentenversi- 
cherung (DSRV) als Betreiberin der ELENA-Datenbank 
als auch die Fa. ITSG als ehemalige „Registratur Fach- 
verfahren“ haben aufgrund der hohen technischen Sicher- 
heitsstandards beim ELENA-Verfahren sowie wegen der 
Sensibilität der Daten und nicht zuletzt, weil das Verfah- 
ren im kritischen Blick der Öffentlichkeit stand, Lösch- 
verfahren entwickelt, die den Sicherheitsstandards für die 
Löschung staatlicher Geheimnisse entsprechen. Die Lö- 
schung der Daten ist sowohl bei der DSRV als auch bei 
der Fa. ITSG unter meiner sowie unter Kontrolle des 
Bundesamtes für die Sicherheit in der Informationstech- 
nik (BSl) erfolgreich durchgeführt worden. Die Daten 
sind nun auch physikalisch nicht mehr vorhanden. 

Bereits mit der Verkündung der Entscheidung, das 
ELENA-Verfahren einstellen zu wollen, haben das 
BMWi und das BMAS in einer gemeinsamen Erklärung 
die Erarbeitung eines Konzeptes zu einem elektronischen 
Meldeverfahren angekündigt, bei dem die von der Wirt- 
schaft für das ELENA-Verfahren gemachten Investitio- 
nen berücksichtigt würden. Mittlerweile hat die Bundes- 
regierung entsprechende Nachfolgeverfahren aufgesetzt. 
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An den Projekten „Beseheinigungen elektroniseh anneh- 
men - Bea“ der Bundesagentur für Arbeit und „Optimierte 
Meldeverfahren in der Sozialen Sieherung - OMS“ des 
BMAS bin ieh beteiligt. 

4.2.2 Bea lebt! Das Projekt Bescheinigungen 
elektronisch annehmen 

Mit dem Verfahren „Bea “ will die Bundesagentur für Ar- 
beit die Lücke schließen, die das eingestellte Projekt 
ELENA hinterlassen hat. 

Das Verfahren „Beseheinigungen elektroniseh annehmen - 
Bea“ der Bundesagentur für Arbeit (BA) ist aufgesetzt 
worden, naehdem ELENA (vgl. Nr. 4.2.1) aufgegeben 
wurde. Gegenstand von Bea ist es, vor allem die Arbeits- 
beseheinigung, die ein Arbeitgeber bei Beendigung des 
Arbeitsverhältnisses für den Arbeitnehmer erstellen muss 
und die zur Bereehnung des Arbeitslosengeldes benötigt 
wird, elektroniseh an die BA zu übermitteln. Der Ar- 
beitnehmer erhält umgehend naeh Eingang der Beschei- 
nigung bei der BA von dieser einen Ausdruck des ge- 
speicherten Datensatzes, so dass er eventuelle falsche 
Einträge umgehend berichtigen lassen kann. Gleichzeitig 
soll die Bescheinigung grundsätzlich nur noch auf Verlan- 
gen des Arbeitnehmers erstellt werden. Die Anzahl aus- 
gestellter Bescheinigungen wird sich dadurch vermutlich 
deutlich reduzieren. Nach der bisherigen Rechtslage muss 
der Arbeitgeber ein Papierformular ausfüllen und dieses 
dem Arbeitnehmer aushändigen, unabhängig davon, ob 
der Arbeitnehmer einen Antrag auf Leistungen bei der 
BA stellt oder einen Anspruch auf derartige Leistungen 
hat. 

Der vorgesehene Umfang des Datensatzes ging zunächst 
über den der Papierbescheinigung hinaus. Insbesondere 
sollte der Arbeitgeber ein vertragswidriges Verhalten des 
Arbeitnehmers, das zur Kündigung geführt hat, näher 
konkretisieren, z. B. Diebstahl, Mobbing o. Ä. Dies ist für 
die Prüfung einer Sperrzeit gemäß § 159 SGB 111 rele- 
vant. Ich konnte erreichen, dass der Umfang des Daten- 
satzes in diesem Punkt deutlich reduziert wurde. Der Ar- 
beitgeber ist, wie in der bisherigen Papierbescheinigung, 
nur noch verpflichtet anzugeben, ob überhaupt ein ver- 
tragswidriges Verhalten Anlass für die Kündigung war. 
Konkrete Angaben zum Fehlverhalten des Arbeitnehmers 
dürfen nicht in die Bescheinigung eingetragen werden. 
Im Hinblick auf § 159 SGB 111 wird die BA das Vorliegen 
eines solchen Verhaltens zum Anlass nehmen, Arbeitneh- 
mer und Arbeitgeber gesondert über die Hintergründe zu 
befragen. 

Darüber hinaus habe ich mich für ein Widerspruchsrecht 
des Arbeitnehmers gegen die elektronische Übermittlung 
vom Arbeitgeber direkt an die BA eingesetzt. Denn diese 
stellt eine Abkehr von dem Grundsatz dar, dass personen- 
bezogene Daten in erster Linie beim Betroffenen zu er- 
heben sind. Widerspricht der Arbeitnehmer der elektro- 
nischen Übermittlung, bleibt es bei der bisherigen 
Papierbescheinigung, die der Arbeitgeber dem Arbeitneh- 
mer aushändigen muss. Dieser muss die Bescheinigung 
dann selbst bei der BA vorlegen oder kann sie, wenn er 
keinen Leistungsantrag stellt, für eigene Zwecke verwah- 


ren. Über das Widerspruchsrecht muss der Arbeitnehmer 
spätestens anlässlich der Beendigung seines Arbeitsver- 
hältnisses vom Arbeitgeber informiert werden. 

Die vorgesehenen Änderungen für die Übersendung der 
Arbeitsbescheinigung müssen noch gesetzlich nachgebil- 
det werden. Zum Redaktionsschluss befand sich der ent- 
sprechende Gesetzentwurf des BMAS in der Ressort- 
abstimmung. Ich werde das Gesetzgebungsverfahren und 
die Umsetzung des Projektes weiter begleiten. 

4.2.3 OMS - Optimierte Meldeverfahren 
in der Sozialen Sicherung 

ELENA ging, OMS kommt - oder: Auf der Suche nach 
machbaren Optimierungsmöglichkeiten im sozialversi- 
cherungsrechtlichen Datenaustausch. 

Um die Erkenntnisse aus ELENA (vgl. Nr. 4.2.1) weiter 
nutzen zu können, hat die Bundesregierung Ende 2011 
beschlossen, eine Machbarkeitsstudie zu Optimierungs- 
möglichkeiten beim Datenaustausch in den verschiedenen 
sozialversicherungsrechtlichen Verfahren zu erarbeiten. 
Federführend ist das Bundesministerium für Arbeit und 
Soziales (BMAS). Das Projekt „Optimierte Meldeverfah- 
ren in der Sozialen Sicherung - OMS“ hat Anfang 2012 
seine Arbeit aufgenommen und soll bis Ende 2013 einen 
Abschlussbericht erstellen. Dieser soll die Bundesregie- 
rung in die Lage versetzen, Verbesserungen beim Daten- 
austausch im Sozialversicherungsrecht jenseits von 
ELENA zu initiieren. 

Vorbedingungen der Studie sind der Verzicht auf die Nut- 
zung der qualifizierten elektronischen Signatur sowie auf 
eine Vorratsdatenspeicherung. Das Projekt besteht aus 
verschiedenen Arbeitsgruppen, die den Status quo ver- 
schiedener Melde-, Beitrags- und Bescheinigungsverfah- 
ren feststellen und dann dafür Optimierungsvorschläge 
erarbeiten und bewerten sollen. Ich beteilige mich an die- 
sen Arbeitsgruppen. Da mit den entsprechenden Bewer- 
tungen vor kurzem begonnen worden ist, ist es für mögli- 
che Ergebnisse dieses Projektes noch zu früh. Die zu 
untersuchenden Optimierungsvorschläge reichen von mi- 
nimalen Ergänzungen einzelner Datensätze über die Ein- 
führung eines multifunktionalen Datensatzes und einer 
zentralen Annahmestelle (ähnlich wie bei ELENA) bis 
hin zur durchgängigen Nutzung des sog. Prozessdatenbe- 
schleunigers (P23R) für alle untersuchten Verfahren (vgl. 
Kasten zu Nr. 4.2.3). 

Die grundlegenden Fragen des sozialversicherungsrecht- 
lichen Meldewesens bleiben bei diesem Projekt allerdings 
teilweise auf der Strecke. Anstatt kleine Verbesserungen 
an Datensätzen einzelner Verfahren zu erreichen oder die 
papierbasierte Meldung in die elektronische Form zu 
bringen, wäre es zum Beispiel aus meiner Sicht sinnvoll 
gewesen, über eine grundlegende inhaltliche Reform 
nachzudenken. Seit Jahren trete ich dafür ein, die ver- 
schiedenen Einkommens- bzw. Entgeltbegriffe zu redu- 
zieren. Mit der Vereinheitlichung dieses Datenkranzes 
würden die Bürokratiekosten erheblich abgebaut. Leider 
wurde dieser Vorschlag zum wiederholten Male nicht be- 
rücksichtigt. Ich befürchte, dass - auch aufgrund der zur 
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Vertilgung stehenden Zeit - im Ergebnis nur kleinteilige 
Änderungen diskutiert und wirklich grundsätzliche Fra- 
gen nicht angegangen werden. Immerhin wird die am 
Ende abzuliefemde Machbarkeitsstudie alle eingegange- 
nen Vorschläge beinhalten, und nicht nur die, die tatsäch- 
lich betrachtet worden sind. Es besteht also noch Hoff- 
nung, dass sich die Bundesregierung als Empfänger der 
Studie entschließt, grundsätzliche Probleme anzugehen, 
die im Projekt OMS noch keine Berücksichtigung gefun- 
den haben. 

Kasten zu Nr. 4.2.3 


P23R ist ein vom BMI initiiertes E-Govemment-For- 
schungsprojekt. Das P23R-Prinzip umfasst Grundlagen 
und Methoden, die den Datenaustausch zwischen Wirt- 
schaft und Verwaltung einfacher, sicherer und transpa- 
renter gestalten sollen. Es spezifiziert ein Infrastruktur- 
konzept, auf dessen Grundlage Unternehmen ihre 
gesetzlichen Informations- und Meldepflichten in einer 
abgesicherten Umgebung effizient erfüllen können. 


4.3 IT-Konsolidierung 

Der IT-Betrieb fast aller Geschäftsbereichsbehörden des 
BMI soll unter der fachlichen Gesamtverantwortung der 
Bundesstelle für Informationstechnik (BIT) beim Bundes- 
verwaltungsamt zusammengefasst werden. 

Die BIT soll - neben der IT im Bundesverwaltungsamt - 
ab Ende 2012 an den beiden Standorten Köln und Wies- 
baden schrittweise IT-Dienstleister werden für 

- das Bundesamt für Bevölkerungsschutz und 
Katastrophenhilfe, 

- das Statistisches Bundesamt, 

- das Bundesinstitut für Sportwissenschaft, 

- das Bundesinstitut für Bevölkerungsforschung, 

- das Bundesamt für Migration und Flüchtlinge, 

- das Beschaffungsamt des Bundesministeriums des 
Innern, 

- die Fachhochschule des Bundes für öffentliche 
Verwaltung, 

- die Bundesakademie für öffentliche Verwaltung, 

- die Bundeszentrale für politische Bildung, 

- die Bundesanstalt Technisches Hilfswerk, 

- das Bundesamt für Kartographie und Geodäsie und 

- das Bundesamt für Sicherheit in der 
Informationstechnik. 

Die IT der Sicherheitsbehörden des BMI sollen erst da- 
nach konsolidiert werden. 

Planungen zur Bündelung der Informationstechnik im 
Geschäftsbereich des BMI existieren bereits seit einigen 
Jahren. Auch in den Geschäftsbereichen des BMF oder 


des BMVBS bestehen Dienstleistungszentren mit ähnli- 
chen Zielen. 

Die jetzt geplante Zusammenfassung der IT des BMl-Ge- 
schäftsbereichs im Bundesverwaltungsamt habe ich von 
Anfang an beratend begleitet. Als erster Schritt ist die 
Übernahme der IT des Statistischen Bundesamts (StBA) 
Anfang 2013 vorgesehen. 

Bei der Übernahme der IT durch die BIT handelt es sich 
um Auftragsdatenverarbeitung nach § 11 BDSG Daher 
müssen zuvor nicht nur die technisch-organisatorischen 
Maßnahmen nach § 9 BDSG, sondern auch die Vorgaben 
des § 11 BDSG vollständig umgesetzt sein (vgl. Kasten 
zu Nr. 4.3). Folglich genügt beispielsweise die alleinige 
Vorgabe der Fachanforderungen mit Schutzbedarfsklassi- 
fizierung durch den Auftraggeber bei weitem nicht. 

Da das StBA Mitglied im Statistischen- Verbund (Arti- 
kel 91c GG, § 3a BStatG) ist, muss der Umgang mit den 
entsprechenden Anwendungen noch geklärt werden. Wei- 
ter sind die sich aus dem Statistikgeheimnis (§16 
BStatG) ergebenden Besonderheiten zu beachten. Dies 
gilt insbesondere für das Abschottungsgebot durch orga- 
nisatorische, personelle und räumliche Trennung sowie 
eine umfassende Belehrung und Verpflichtung aller Per- 
sonen, die mit statistischen Daten in Berührung kommen 
könnten. 

Nach einer Rahmenvereinbarung zwischen dem Haupt- 
personalrat und dem BMI vom 19. April 2012 sollen alle 
Personen, die überwiegend in der IT beschäftigt sind, in 
die BIT wechseln. Dies darf aber nicht dazu führen, dass 
die abgebenden Stellen nicht mehr über ausreichendes ei- 
genes IT-Fachwissen verfügen. Nur mit eigenem Sach- 
verstand über die Funktionsweise von IT-Systemen kön- 
nen sie „gleichberechtigt“ beispielsweise Service Level 
Agreements verhandeln oder Neuplanungen von IT be- 
darfsgerecht durchführen. Auch im Hinblick auf die Ver- 
pflichtungen der fachlich zuständigen Stellen als Auftrag- 
geber gemäß § 11 BDSG müssen diese in der Lage sein, 
die Verfahrensabläufe und die Maßnahmen zur IT-Sicher- 
heit beim BVA zu beurteilen und ggf entsprechende Wei- 
sungen zu erteilen. 

Im Rahmen meiner Beratung habe ich ausdrücklich und 
mehrfach darauf hingewiesen, dass 

- das Gebot der Abschottung nur durch ein hohes 
Schutzniveau für die besonders schützenwerten perso- 
nenbezogenen Daten gewährleistet werden kann, 

- für dafenschutzrechtliche Kontrollen durch den bDSB 
des StBA und durch meine Dienststelle eine umfas- 
sende und revisionssichere Protokollierung zu imple- 
mentieren ist 

- und die Empfehlung zur „Mandantenfähigkeit“ 
(„Orientierungshilfe Mandantenfähigkeit - Techni- 
sche und organisatorische Anforderungen an die Tren- 
nung von automatisierten Verfahren bei der Benutzung 
einer gemeinsamen IT-lnfrastruktur“ des Arbeitskreis 
Technik der Konferenz der Datenschutzbeauftragten 
des Bundes und der Länder) zu beachten ist. 
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Insbesondere sehe ich die behördlichen Datenschutzbe- 
auftragten neben dem Datenschutzbeauftragten der BIT 
in der Pflicht, nach der IT-Konsolidierung den Daten- 
schutz der einzelnen Fachanwendungen zu gewährleisten. 

Da weiterhin noch ungeklärte Fragen zum Datenschutz 
bestehen bzw. einige wichtige Aspekte nicht ausreichend 
berücksichtigt und mit meinem Einvernehmen umgesetzt 
wurden, werde ich die Konsolidierung im Geschäftsbe- 
reich des BMI weiterhin sehr kritisch beobachten. 

Kasten zu Nr. 4.3 


Bei der IT-Konsolidierung besonders wichtige schrift- 
lich festzulegende Vorgaben (vgl. § 1 1 Absatz 2 

BDSG): 

- Den Umfang, die Art und der Zweck der vorgesehe- 
nen Erhebung, Verarbeitung oder Nutzung von Da- 
ten, die Art der Daten und der Kreis der Betroffenen. 

- Die nach § 9 zu treffenden technischen und organisa- 
torischen Maßnahmen. 

- Die Kontrollrechte des Auftraggebers und die ent- 
sprechenden Duldungs- und Mitwirkungspflichten 
des Auftragnehmers. 

- Die mitzuteilende Verstöße des Auftragnehmers oder 
der bei ihm beschäftigten Personen gegen Vorschrif- 
ten zum Schutz personenbezogener Daten oder ge- 
gen die im Auftrag getroffenen Festlegungen. 

- Den Umfang der Weisungsbefugnisse, die sich der 
Auftraggeber gegenüber dem Auftragnehmer vorbe- 
hält. 

- Die Rückgabe überlassener Datenträger und die Lö- 
schung beim Auftragnehmer gespeicherter Daten 
nach Beendigung des Auftrags. 


4.4 Technische Standardisierung immer 
wichtiger 

Neben Rechtsvorschriften werden technische Standards 
für den Datenschutz immer wichtiger. Ich beteilige mich 
an deren Ausarbeitung. 

Der Standardisierung von technischen Architekturen und 
Prozessen als Grundlage für technische Anforderungen 
an den Datenschutz kommt eine immer höhere Bedeutung 
zu. Auch im Entwurf der Datenschutz-Grundverordnung 
(vgl. Nr. 2.1.1) finden sich zahlreiche Verweise auf die 
Festlegung technischer Standards. Neben der Mitwirkung 
auf nationaler Ebene beteilige ich mich daher vermehrt an 
Standardisierungsvorhaben im internationalen und natio- 
nalen Bereich. 

In vielen Bereichen der IT-Sicherheit haben sich technische 
Standards etabliert. Durch die unmittelbare Verknüpfung 
mit dem technologischen Datenschutz tangieren diese 
zwangsläufig datenschutzrechtliche und -technische As- 
pekte. Daher ist es umso wichtiger, sich bereits frühzeitig 


an der Entwicklung von Standards zu beteiligen, um 
größtmöglichen Einfluss auf das Ergebnis zu nehmen. 

Auf nationaler Ebene wirke ich derzeit im Rahmen der 
Aktivitäten des DIN (Deutsches Institut für Normung) 
unter anderem bei der Erarbeitung und Überarbeitung der 
Normen 

- Vernichtung von Datenträgern (DIN 66399) (vgl. 
Nr. 4.6) 

- Karten und persönliche Identifikation (NA 043-01-17 
AA) und 

- Biometrie (NA 043-01-37 AA) 
mit (vgl. 23. TB Nr. 5.3). 

Neben der Unterstützung der Interoperabilität und des 
Datenaustausches zwischen Anwendungen und Systemen 
geht es bei „Karten und persönliche Identifikation“ und 
„Biometrie“ vor allem auch um das Einbringen von natio- 
nalen Interessen in die internationale Normung. Durch 
meine Mitwirkung in diesen Gremien des DIN strebe ich 
an, die datenschutzrechtlichen Aspekte - z. B. zum 
Schutz der Privatsphäre in der Biometrie - besser in die- 
sen Technologie zu verankern. Dabei arbeite ich eng mit 
dem Bundesamt für Sicherheit in der Informationstechnik 
(BSI) zusammen. Auch neue Vorhaben, die erst in die 
Normung eingebracht werden sollen, werden von mir mit 
beraten. Hierzu zählt beispielsweise die Erarbeitung von 
Standards zur Datenlöschung (vgl. Nr. 4.5). 

Im Zuge der Reform des europäischen Datenschutzrech- 
tes (vgl. Nr. 2.1) und der zunehmenden Akzeptanz von 
datenschutzfreundlichen Konzepten wie Privacy by De- 
sign oder der Datenschutzfolgen-Abschätzung (Privacy 
Impact Assessment, PIA) gewinnt die internationale 
Standardisierung immer mehr an Gewicht. Auf interna- 
tionaler Ebene wurde innerhalb der ISO (International 
Organization for Standardization) eine Arbeitsgruppe ge- 
gründet, welche sich ausschließlich mit den Themen 
„Identitätsmanagement“ und „technologischen Daten- 
schutz“ beschäftigt und unter anderem Standards zu den 
Themen PIA oder Cloud Computing erarbeitet. Die Nor- 
mung des Datenschutzes auf globaler Ebene gestaltet sich 
dabei sehr schwierig. Das liegt zum Teil daran, dass die 
Normung nicht nur die regionalen deutschen (bzw. euro- 
päischen) datenschutzrechtlichen Anforderungen berück- 
sichtigen muss, sondern darüber hinaus eine Vielzahl von 
Wünschen anderer Staaten und Regionen. Meine grund- 
sätzliche Haltung sieht deshalb vor, dass ISO-Normen nur 
solche Fragen und Inhalte ansprechen und normieren soll- 
ten, die übergeordnete Datenschutzfragen betreffen. Erste 
Ansätze werden im Rahmen des Projektes der ISO 29100 
(„Privacy Framework“) erarbeitet. 

Hier sehe ich Möglichkeiten, grundsätzliche Prinzipien 
und eine Rahmenarchitektur für den fechnologischen Da- 
tenschufz zu standardisieren. 

Allerdings plädiere ich dafür, diese so allgemein wie 
möglich zu halten und Aspekte des europäischen Daten- 
schutzes innerhalb der Europäischen Normungsorganisa- 
tionen zu bearbeiten. Hier wäre eine Norm unter dem 
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Dach von CENELEC (europäische Normung im Bereich 
Elektrotechnik) vorstellbar. Zusammen mit ETSl (Nor- 
mung im Bereich Telekommunikation) und CEN (Nor- 
mung in allen anderen technischen Bereichen) bildet 
CENELEC das europäische System für technische Nor- 
men und wäre der geeignete Ort, um die spezifisch euro- 
päischen Datenschutzaspekte zu normieren. 

ln Hinblick auf die unglaubliche Geschwindigkeit, in der 
neue Technologien entstehen und veralten, müssen die 
Standardisierungsvorhaben entbürokratisiert und der Pro- 
zess der Entwicklung von Standards verschlankt werden. 
Andernfalls droht die Standardisierung dem ständigen 
technologischen Fortschritt hinterher zulaufen. 

Auch künftig wird der Stellenwert technischer Standards 
weiter zunehmen. Ich werde mich weiterhin an Standardi- 
sierungsvorhaben beteiligen und meine Mitarbeit und die 
enge Kooperation auf nationaler und internationaler 
Ebene - auch im Zuge der künftigen Entwicklungen bei 
der Datenschutz-Grundverordnung - weiter intensivieren. 

4.5 Datenlöschung - eine Leitlinie 

Die Löschung digitaler Daten ist nicht immer einfach. 
Bisweilen mangelt es aber auch an der Kenntnis und Be- 
reitschaft der Verantwortlichen, sich mit gesetzlichen Vor- 
gaben zur Datenlöschung auseinanderzusetzen. 

Der Löschung von Daten kommt in einer digitalen Welt 
immer mehr Bedeutung zu. Während Vernichten von Pa- 
pier recht einfach zu bewerkstelligen ist, bereitet das Lö- 
schen von digitalen Medien häufig Schwierigkeiten. Dies 
hängt zum einen damit zusammen, dass in der digitalen 
Welt Daten mit unterschiedlichen Löschfristen hoch inte- 
griert in Datenbanken gespeichert werden und der Lösch- 
prozess unterschiedliche Verknüpfungen berücksichtigen 
muss. Hier können IT-Lösungen greifen, welche die ge- 
setzlich gebotenen Datenlöschungen von vornherein be- 
rücksichtigen. 

Bisweilen sehen die für IT- Verfahren Verantwortlichen 
aber auch gar nicht ein, warum sie einmal gespeicherte 
Daten überhaupt löschen sollen - schließlich gehört die 
Knappheit digitaler Speichermöglichkeiten ein für alle 
Mal der Vergangenheit an. Bisweilen mangelt es auch 
ganz einfach an Sensibilität. 

Die Bemühungen der Wirtschaft den Prozess des Lö- 
schens von Daten zu standardisieren, unterstütze ich; bei 
der Ausarbeitung einer Leitlinie dazu war ich beratend tä- 
tig- 

Auch die Bundesverwaltung stellt vermehrt ihre papier- 
gebundene Vorgangsbearbeitung auf die digitale Welt um 
(siehe auch digitale Personalakte, Nr. 13.3). Mit der Um- 
stellung von Papier auf elektronische Bearbeitung ent- 
steht in der Regel ein neues Problem: die Datenlöschung, 
ln sehr vielen Geschäftsprozessen und IT-Anwendungen 
werden nämlich personenbezogene Daten verarbeitet und 
genutzt, die den Vorschriften des Datenschutzes unterlie- 
gen. 

Die Datenschutzgrundsätze zur Erforderlichkeit, Daten- 
vermeidung und Datensparsamkeit verpflichten dazu. 


nicht mehr benötigte Daten zu löschen. So enthält Arti- 
kel 6 der EU -Datenschutzrichtlinie von 1995 eine Lösch- 
und Anonymisierungsvorgabe. Das deutsche Bundesda- 
tenschutzgesetz (BDSG) schreibt in den §§20 Absatz 2 
und 35 Absatz 2 die Löschung für diejenigen Daten vor, 
die für die rechtlich zulässigen Zwecke nicht mehr erfor- 
derlich sind. Die Prinzipien wurden in ISO 29100 (siehe 
Nr. 4.4) als ,f)ata minimization “ und „Use, retention and 
disclosure Imitation “ aufgegriffen. 

ln der Praxis wird die Rechtsvorgabe zur Datenlöschung 
oft nur unzureichend umgesetzt. Sie stößt auf vielfältige 
Probleme, insbesondere 

- werden Löschungsgebote von für die Verarbeitung 
Verantwortlichen bisweilen als unnötig oder kosten- 
trächtig angesehen, 

- würde die Löschung den Weg verbauen, die Daten zu 
einem späteren Zeitpunkt für einen (noch) unbekann- 
fen Zweck zu verwenden, 

- sehen technische Systeme vielfach keine vollständige 
und nicht reversible Löschung von Daten vor, 

- fällt es verantwortlichen Stellen schwer, für Dafenbe- 
stände das Ende von Prozessen und damit konkrete 
Löschfristen festzulegen, 

- weil viele Beteiligte differenzierte Löschregeln verste- 
hen müssen, um die Löschmechanismen in den betei- 
ligten IT- Systemen zu implementieren und 

- weil es an klaren Vorstellungen fehlt, wie die korrekte 
Umsetzung der Löschregeln überprüft und nachgewie- 
sen werden kann. 

Um eine rechtskonforme, geordnete Löschung von per- 
sonenbezogenen Daten sicherzustellen, müssen verant- 
wortliche Stellen daher ein Regelwerk entwickeln und 
Verantwortung zuweisen. Die Etablierung eines solchen 
Löschkonzepts ist eine komplexe und umfangreiche Auf- 
gabe. Die Erfolgsaussichten für die Entwicklung eines 
konkreten Löschkonzepts können verbessert werden, 
wenn die verantwortliche Stelle auf einen bewährten Vor- 
schlag zur Vorgehensweise und zur Gestaltung zurück- 
greifen kann, ln der vorliegenden Leitlinie wird eine Vor- 
gehensweisen für die Efablierung eines betrieblichen 
Löschkonzepts vorgeschlagen. 

Die Möglichkeit einer internationalen Standardisierung 
der Leitlinie wird durch das DIN geprüft. Die Leitlinie 
unterstützt verantwortliche Stellen dabei, ihre rechtlichen 
Pflichten zur Löschung personenbezogener Daten zu er- 
füllen. Sie gibt Empfehlungen für die Inhalte, den Aufbau 
und die Zuordnung von Verantwortung in einem daten- 
schutzkonformen Löschkonzept. Die Vorgehensweise 
und Strukturierungsvorschläge sind auf alle verantwortli- 
chen Stellen übertragbar. Die Leitlinie richtet sich primär 
an Verantwortliche für den Datenschutz und an Personen, 
die an der Entwicklung eines Löschkonzepts mitarbeiten. 
Die Leitlinie ist auf meiner Intemetseite unter www.da- 
tenschutz.bund.de veröffentlicht. 

Ein Löschkonzept kann nur dann mit akzeptablem Auf- 
wand etabliert werden, wenn alle Beteiligten die Löschre- 
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geln nachvollziehen können und die Komplexität der An- 
forderungen überschaubar bleibt. Einfache Regeln sind 
daher der Schlüssel zum Erfolg. Die Leitlinie empfiehlt 
aus diesem Grund die Verwendung standardisierter 
Löschfristen und sogenannter Löschklassen, die gegebe- 
nenfalls organisationsspezifisch angepasst werden. Diese 
Löschklassen reduzieren die Komplexität der unter- 
schiedlichen Löschanforderungen und bilden den Kem 
des Löschkonzepts. Sie werden für die Zuordnung von 
personenbezogenen Datenbeständen zu Löschregeln ver- 
wendet. Ein Löschkonzept der hier vorgeschlagenen Art 
hat für eine verantwortliche Stelle vielfältigen Nutzen: 

- Es dient dem Schutz der Betroffenen im Sinne des 
Rechts auf informationelle Selbstbestimmung. 

- Die verantwortliche Stelle erfüllt ihre Rechtspfiichten 
und kann hinsichtlich der Einhaltung von Löschpfiich- 
ten ihre Datenschutzkonformität belegen. 

- Prozesse werden klarer festgelegt, weil durch die 
Pflicht zur Löschung ihr Ende definiert werden muss. 

- Die Datenhaltung wird systematisiert und konsoli- 
diert, weil auch Altbestände in die Löschung einbezo- 
gen werden müssen und diese dadurch bereinigt wer- 
den. Dadurch können auch der Aufwand und die 
Kosten für Datenmigrationen bei Systemwechseln er- 
heblich reduziert werden. 

- Durch die Bereinigung von Datenbeständen und das 
Auflösen unnötiger Redundanz können Kosten im IT- 
Betrieb gesenkt werden. 

- Da das Löschkonzept Soll- Vorgaben für die Löschung 
von Datenbeständen macht, können daraus mit gerin- 
gem Aufwand Prüfbedingungen für Audits abgeleitet 
werden. 

- Durch die systematische Erfassung der personenbezo- 
genen Daten erhält der Verantwortliche für Dafen- 
schufz einen Überblick über diese Besfände und die 
relevanten Systeme. 

- Nicht zuletzt verbessert die Diskussion um Löschre- 
geln und die konstruktive Gestaltung von Geschäfts- 
und IT-Prozessen die Verankerung des Datenschutzes 
innerhalb der verantwortlichen Stelle. 

ln der Leitlinie werden auch zentrale Begriffe definiert, 
die in den Diskussionen um Löschregeln benötigt wer- 
den. Sie erleichtern die Verständigung zwischen fachli- 
chen Anwendern, IT- Verantwortlichen, Systementwick- 
lem, Management, Verantwortlichen für den Datenschutz 
und anderen Beteiligten. Die Umsetzungsvorgaben für 
eine regelgerechte Löschung von personenbezogenen Da- 
ten in IT-Systemen können bereits bei der Konzeption 
von Geschäftsprozessen hilfreich sein. Für Systement- 
wicklungs- und Systembeschaffungsprozesse können aus 
ihnen Löschanforderungen definiert werden. Die Leitlinie 
gibt zudem Software-Herstellern Hinweise darauf, wie 
IT-Systeme die Aufgaben der Löschung personenbezoge- 
ner Daten durch verantwortliche Stellen unterstützen kön- 
nen. 


Ich hoffe, dass Beteiligten die hier gegebene Möglichkeit 
nutzen, sich besser mit der Frage der Löschung in digita- 
len Systemen oder bei der Verarbeitung von digitalen Ak- 
ten auseinanderzusetzen und daraus die notwendigen 
Konsequenzen ziehen. 

4.6 Vernichtung von Datenträgern - neue 
DIN-Norm 66399 verabschiedet 

Die im September 2012 veröffentlichte neue DIN-Norm 
zur Datenträgervernichtung (DIN 66399) ermöglicht der 
verantwortlichen Stelle als „Herr der Daten die Schutz- 
klassen und Sicherheitsstufen flexibel zu bestimmen und 
die für Ihren Bedarf angemessene Vernichtung von Da- 
tenträgern zu wählen. 

Die neue DIN 66399 ersetzt die bisherige DIN 32757. Ich 
habe bereits im 23. Tätigkeitsbericht (Nr. 5.3) über die 
Probleme berichtet, die sich bei der Datenträgervemich- 
tung durch moderne Technologien, neuere Materialen, 
Recycling- und Umweltaspekte ergeben. Das Resultat 
ausgedehnter Sitzungen mit Vertretern der Abfallwirt- 
schaft und der Gerätehersteller besteht im Wesentlichen 
aus folgenden Änderungen: 

- Klassifizierung der Daten in drei Schutzklassen 

Die Ermittlung des Schutzbedarfs und die Zuordnung 
der Schutzklasse sowie der Sicherheitsstufen dient der 
Klassifizierung der anfallenden Daten. 

- Sechs Materialklassifizierungen 

Erstmals definiert die Norm unterschiedliche Materi- 
alklassifizierungen und berücksichtigt dabei die Größe 
der Informationsdarstellung auf den Datenträgern. Es 
wird unterschieden zwischen Papierdokumenten, opti- 
schen, magnetischen oder elektronischen Datenträgern 
und Festplatten. 

- Sieben Sicherheitsstufen 

Statt bisher fünf Sicherheifsstufen definiert die neue 
DIN 66399 jetzt sieben Sicherheitsstufen. Ein wesent- 
licher Unterschied ist die neue Stufe P-4 mit einer 
Teilchenfiäche von max. 160 mm^. 

- Die Aufnahme neuer Datenträger 

Die neue Norm bietet derzeit weltweit als einziger 
Standard eine umfassende Orientierung für die Ver- 
nichtung von „neuen Medien“ (z. B. CD, DVD, Fest- 
platten, USB-Stick, Speicherkarten). Mit der Einfüh- 
rung von zwei zusäfzlichen Sicherheitsstufen, die der 
technischen Entwicklung Rechnung tragen sollen, 
werden zudem zukünftige Entwicklungen bereits im 
heutigen Standard berücksichtigt. 

Die neue Norm definiert neben den reinen Anforderungen 
an Maschinen zur Vernichtung von Datenträgern auch die 
Prozesse rund um die Datenträgervemichtung. DIN 66399 
ist somit die umfassendste, kompletteste Norm rund um 
das Thema Datenträgervemichtung. Gemeinsam mit dem 
nationalen Normungsgremium hoffe ich, die Norm auf 
internationaler Ebene verankern zu können. 



Deutscher Bundestag - 17. Wahlperiode 


-67- 


Drucksache 17/13000 


4.7 Schadprogramm-Erkennungssystem 
des BSI: Nur bedingt datenschutz- 
gerecht 

Auch bei der Bekämpfung von Schadsoftware muss der 
Datenschutz gewährleistet sein. Ich habe das hierfür vom 
Bundesamt für die Sicherheit in der Informationstechnik 
(BSI) eingesetzte Verfahren geprüft und dabei erhebliche 
Mängel festgestellt. 

Die Umsetzung und Überführung eines Datenerhebungs- 
und Datenverwendungskonzepts des BSI sieht die auto- 
matisierte Untersuehung von Angriffen auf das Regie- 
rungsnetz vor. leh habe mieh im Rahmen einer Kontrolle 
über den Betrieb des Verfahrens informiert. 

Naeh § 3 Absatz 1 BSIG ist das BSI für die Abwehr von 
Gefahren für die Sieherheit in der Informationsfeehnik 
des Bundes zuständig. Es soll Stellen des Bundes vor 
mögliehen Sieherheitsproblemen warnen und insbeson- 
dere Sehadprogramme und Gefahren für die Kommunika- 
tionsteehnik erkennen (§ 5 BSIG). Hierzu hat das BSI das 
Verfahren „Sehadprogramm-Erkennungssystem (SES)“ 
eingeriehtet, das Angriffe auf die Kommunikationsinfra- 
struktur des Bundes erkennen und zu geeigneten Abwehr- 
maßnahmen führen soll. Das SES analysiert den ein- und 
ausgehenden Kommunikationsverkehr von Datendiensten 
automatiseh mittels Sensoren - bei konkretem Verdaeht 
aueh manuell. Anwendung findet es in folgenden (Bun- 
des-)Netzen: Informationsverbund Berlin-Bonn (IVBB), 
Netz der Bundeswehr, Übergang zum DOI-Netz (vormals 
TESTA, über das die Länder und EU-Einriehtungen ange- 
bunden sind) und Informationsverbund der Bundesver- 
waltung (IVBV). 

Weitere Anbindungen sind in Planung: Bundesfinanznetz 
und Netz der Wasser- und Sehiffsfahrtsverwaltung 
(BVBS-WAN). Für den Bundesbereieh regelt § 2 Ab- 
satz 3 BSIG, welehe Behörden nieht dureh das SES über- 
waeht werden dürfen. Meine Kontrolle ergab, dass das 
BSI die Regelung in allen Punkten umgesetzt hat. 

Pro Netz werden Sensoren an definierten Übergabepunk- 
ten eingeriehtet, die den ein- und ausgehenden Datenver- 
kehr analysieren und verdäehtige Datenströme selektieren 
und ausleiten. Dadureh können Angriffe auf die Kommu- 
nikationsinfrastruktur des Bundes detektiert werden. An 
den Sensoren wird auf der Basis voreingestellter Signatu- 
ren eine automatisehe Vorprüfüng des Datenstroms vor- 
genommen. Nur Daten mit Indikation auf Sehadpro- 
gramme oder Gefahren für die Kommunikationsfeehnik 
des Bundes werden ausgeleitet (erste Stufe). Grundlage 
für die Prüfung bilden Signafurlisten, die aus verschiede- 
nen Quellen zusammengesfellt und sfändig angepassf 
werden, beispielsweise Meldungen aus den CERTs 
(Computer Emergency Response Teams). 

Ausschließlich Daten mit Verdachtsmomenten werden 
anschließend über eine gesicherte Verbindung komplett 
zum BSI übertragen. Dort werden diese in einer zweiten 
Stufe einer intensiven automatisierten Analyse in einer 
speziellen Umgebung unterzogen. Stellt sich hierbei he- 
raus, dass es sich nicht um einen Angriffsversuch oder 
eine Gefahrenquelle handelt, werden die Daten umge- 


hend gelöscht. Die danach verbliebenen Fälle werden von 
speziell ausgebildeten Mitarbeitern auf Testsystemen ma- 
nuell untersucht. Liegt ein Schadprogramm oder Angriff 
vor, wird der komplette Datensatz in einer (SES-)Daten- 
bank gespeichert, in der nach Abschluss des Falls aus- 
schließlich die nachgewiesenermaßen zu elektronischen 
Angriffen gehörigen Daten enthalten sind. Die Vorgaben 
des BSI-Gesetzes werden bei Analyse und Auswertung 
strikt beachtet. 

Auch die Informationspfiichten an den Betroffenen wer- 
den - wie ich feststellen konnte - umgesetzt. 

Leider ging das BSI bei der Übermittlung entsprechender 
Informationen an Sicherheitsbehörden zu weit. So wur- 
den regelmäßig Daten an eine Sicherheitsbehörde, die 
nicht explizit im Gesetz genannt ist, im Rahmen der Spio- 
nageabwehr übermittelt. Ich habe dies beanstandet. Das 
BSI hat das entsprechende Verfahren danach unverzüg- 
lich eingestellt. 

Weitere Probleme gab es bei der Löschung von personen- 
bezogenen Daten nach Ende der Fallbearbeitung in der 
SES-Datenbank. Auch in diesem Punkt konnte ich eine 
Einigung mit dem BSI erreichen. 

Nach § 5 Absatz 7 BSIG dürfen personenbezogene Da- 
ten, die den Kembereich privater Lebensgestaltung be- 
treffen, sowie Daten, die unter § 3 Absatz 9 BDSG fallen, 
nicht verwendet werden, sie sind unverzüglich zu lö- 
schen. Wie die Kontrolle mit Hilfe der gesetzlich vorge- 
schriebenen Dokumentation ergeben hat, haben solche 
Fälle Vorgelegen. Die entsprechenden Daten waren zwar 
irreversibel gelöscht, die Dokumentation ergab aber, 
Schwierigkeiten den Begriff „Kembereich privater Le- 
bensfühmng“ inhaltlich zu bewerten. Das BSI hat nach 
eigenen Angaben Schwierigkeiten, diese Vorgabe zu in- 
terpretieren und bei der manuellen Analyse eine richtige 
Zuordnung zu finden. Ich habe angeregt, die Beurtei- 
lungskriterien präziser zu fassen und die mit der manuel- 
len Analyse befassten Mitarbeiter entsprechend zu schu- 
len, was das BSI aufgegriffen hat. Außerdem habe ich 
hierzu meine Beratung angeboten. 

Wie ich ferner festgestellt habe, fehlt für die Nutzer des 
SES ein formales Benutzerverwaltungsverfahren. Auch 
dies wurde in zwischen vom BSI behoben. 

Die von mir nach § 25 Absatz 1 BDSG beanstandeten er- 
heblichen Mängel hat das BSI umgehend aufgegriffen 
und entsprechende Maßnahmen eingeleitet. Den Ausbau 
der „Netze des Bundes“ und die damit verknüpften Si- 
cherheitsfragen und Überwachungstechniken werde ich 
weiterhin aufmerksam beobachten. 

4.8 Aufräumen am Arbeitsplatzrechner 

Auch auf Arbeitsplatzrechnern müssen personenbezoge- 
nen Daten zeitgerecht gelöscht werden. 

In fast allen von mir kontrollierten Behörden entdecken 
meine Mitarbeiterinnen und Mitarbeiter „Dateileichen“ 
an den Arbeitsplätzen. So ist es weit verbreitet, Origi- 
naldokumente als Musterschreiben zu nutzen. Diese 
Dokumente enthielten - teilweise sehr sensible - perso- 
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nenbezogene Informationen, z. B. interne Beurteilungen, 
disziplinarrechtliche Maßnahmen gegenüber Mitarbei- 
tern, Informationen über Krankheiten der Mitarbeiter 
oder sehr persönliche Daten und Bescheide zu „Kunden“ 
der Behörde die in jedem Fall hätten gelöscht sein müs- 
sen. Auch werden ungeschützt Dokumente, z. B. in gän- 
gigen Office-Formaten, per E-Mail weitergeleitet. 

Jeder einzelne Punkt ist ein klarer Datenschutzverstoß. 

Diese Maßnahmen können das Aufräumen des Arbeits- 
platzrechners erleichtern: 

- Werden statt „Musterschreiben“ Dokumentenvorlagen 
(z. B. bei Word) verwendet, können diese ohne Perso- 
nenbezug erstellt und wiederverwendet werden. 

- Eine einheitliche transparente Struktur der Ablage 
hilft die Übersicht über vorhandene Dokumente zu er- 
halten. Dokumente können z. B. in Verzeichnissen 
nach Sachlagen oder nach zeitlichen Angaben struktu- 
riert werden. Viele Betriebssysteme unterstützen das 
Auffinden von Dokumenten durch Suchkriterien wie 
Erstellungsdatum oder Dokumententyp. 

- Die Verwendung von Verschlüsselungsprogrammen 
ist durch Schulungen zu üben, so dass schützenswerte 
Daten nur verschlüsselt mittels E-Mail versandt wer- 
den. 

Ich werde mich dafür einsetzen, dass in allen Behörden in 
etwa jährlichem Abstand entsprechende Datenschutz- 
schulungen angeboten werden und die behördlichen Da- 
tenschutzbeauftragten regelmäßig Arbeitsplatzkontrollen 
durchführen. 

4.9 Dokumentationspflichten bei der 
Entwicklung von Software und 
deren Nutzung 

Bei Kontrollen musste ich wiederholt feststellen, dass die 
von verantwortlichen Stellen vorgelegten Unterlagen die 
datenschutzrechtlichen Dokumentationspflichten verletz- 
ten. 

Die Revisionsfähigkeit von Systemen ist eine wichtige 
Voraussetzung bei datenschutzrechtlichen Kontrollen und 
Beratungen. Da die Systeme immer komplexer werden, 
ist die Prüfung des Systems nur möglich, wenn entspre- 
chende Unterlagen vorliegen, die deren Funktionsweise 
und den dabei vorgesehenen Umgang mit personenbezo- 
genen Daten dokumentieren. Auch meine Kontrollaufga- 
ben kann ich nur dann wahmehmen, wenn das zu kontrol- 
lierende System in ausreichendem Maß „revisionsfähig“ 
isf. 

Die Revisionsfähigkeit von Hard- und Software ergibt 
aus dem Einleitungssatz zur Anlage von § 9 BDSG. Dort 
werden technische und organisatorische Maßnahmen ge- 
fordert, um die Ausführungen des Gesefzes zu gewähr- 
leisfen. Datensicherheit setzt auch immer voraus, dass der 
verantwortlichen Stelle bewusst ist, welche Systeme wo 
eingesetzt werden und welchen Funktionsumfang sie ha- 
ben. Außerdem muss die verantwortliche Stelle wissen, 
wie die personenbezogenen Daten im System verarbeitet 


werden. Insofern dient die Verfahrensdokumentation in 
erster Linie den Verfahrensverantwortlichen und darf 
nicht als lästige Verpflichtung gegenüber möglichen Kon- 
trolleuren missverstanden werden. 

Immer wieder werden Fragen an mich herangetragen, 
was unter dem Begriff Dokumentation zu verstehen ist 
und welchen Umfang sie haben soll. Unter „Dokumenta- 
tion“ werden im Allgemeinen alle Unterlagen verstanden, 
die die Funktionsweise, die unterschiedlichen Rollen, die 
Bedingungen für den Betrieb sowie Wartungs- und Pfle- 
geanweisungen erklären. Es gibt nicht eine Dokumenta- 
tion, sondern verschiedene Dokumente, die an unter- 
schiedliche Zielgruppen gerichtet sind (vgl. Kasten zu 
Nr. 4.9). 

Nur wenn diese Dokumente vollständig vorliegen, ist die 
Revisionsfähigkeit des Verfahrens gewährleistet und da- 
mit eine wichtige Grundlage zur Datensicherheit gege- 
ben. 

Immer wieder musste ich im Berichtszeitraum feststellen, 
dass die Pflicht einer ausreichenden Dokumentation von 
der verantwortlichen Stelle verletzt wurde (vgl. z. B. 
Nr. 3.5.1, 9.6). Grundsätzlich müssen zwar nicht bei je- 
dem Einsatz von Software alle im Kasten zu Nr. 4.9 ge- 
nannten Dokumente vorliegen. So verlange ich etwa bei 
Einsatz von Standardprogrammen nicht die Vorlage des 
Quellcodes. Beim Einsatz von speziell entwickelter Soft- 
ware mit spezifischen Funktionalitäten und bei Verarbei- 
tung sehr schützenswerter Daten liegt das anders. Dann 
ist für die datenschutzrechtliche Bewertung des Systems 
die Vorlage des Quellcodes und weiterer Unterlagen eine 
notwendige Voraussetzung. 

Wie umfangreich eine Dokumentation sein muss, kann 
ebenfalls unterschiedlich bewertet werden. Die entspre- 
chenden DIN-Normen 66230 Programmdokumentation, 
66231 Programmentwicklungsdokumentation und 66232 
Datendokumentation wurden leider 2004 zurückgezogen 
und können nicht mehr herangezogen werden. Gleich- 
wohl gibt es internationale (ISO-, EN-) Standards, die sich 
mit den Dokumentationspflichten befassen, beispiels- 
weise EN 15380 für die Dokumentation des Datenaus- 
tauschs. Ich empfehle deshalb allen verantwortlichen 
Stellen, entsprechende Dokumente nach den gültigen 
Normen einzufordem. Auch die Zertifizierung von Syste- 
men und Programmen beispielsweise nach den Common 
Criteria verlangt die Vorlage entsprechender Dokumente. 
Sie bilden somit die Richtschnur, welche Dokumente vor- 
handen sein müssen. 

Im Übrigen weise ich darauf hin, dass im Grundschutz- 
handbuch des Bundesamtes für Sicherheit in der Informa- 
tionstechnik entsprechende Anforderungen fixiert sind, 
beispielsweise in Maßnahme „M 2.62 Software-Ab- 
nahme- und Freigabe-Verfahren“. Auch verschiedene Ge- 
richte haben sich bereits mit dieser Frage befasst und die 
Programmdokumentation explizit gefordert, beispiels- 
weise das OLG Karlsruhe, das in der vertraglichen Pflicht 
zur Überlassung einer Dokumentation implizit auch eine 
Pflicht zur Quellcodeübergabe sah (OLG Karlsruhe, 
Computer und Recht 1999, 11). Das LG Frankfurt hat für 
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jeden Programmerstellungsvertrag eine Auslieferung des 
Quellcodes verlangt, und das schon vor der Abnahme 
(LG Frankfurt, BB Beilage 1993, Nr. 3, 4 und 5 [ODER 
Computer und Recht 1993, 693]). Besonders bei „Daten- 
schutz-kritischen“ Anwendungen werde ich die Einhal- 
tung der Dokumentationspflichten weiterhin genau be- 
obachten. 

Kasten zu Nr. 4.9 


Ich empfehle allen verantwortlichen Stellen grundsätz- 
lich folgende Teile vor dem Wirkbetrieb bereitzuhalten: 

- Installationsdokumentation, 

- Benutzerdokumentation, 

- Bedienungsanleitungen (Fehlerbeschreibungen etc.), 

- Datenflussdokumentation, 

- Programmdokumentation (Quellcode, Beschreibung 
zur Übersetzung des Quellcodes etc.), 

- Methodendokumentation (Beschreibung verwende- 
ter Algorithmen, mathematischer Modelle etc.), 

- Datendokumentation (welche Daten wie bearbeitet 
werden, Wertebereiche, Löschkonzept, Datenfluss- 
diagramm, Import-ZExportschnittstellen etc.), 

- Testdokumentation (Nachweis über den erfolgrei- 
chen Testlauf vor Beginn des Wirkbetriebs, Testda- 
tenbestand) und 

- Entwicklungsdokumentation. 


5 Internet 

5.1 Auskunftsanspruch nach § 101 UrhG - 

Zeig mir Deine IP und ich sage Dir, 
wer Du bist 

Aufgrund der Entscheidung des Bundesgerichtshofs 
(BGH) zu den Voraussetzungen des Auskunftsanspruchs 
nach § 101 Urheberrechtsgesetz (UrhG) werden künftig 
wohl mehr Kundendaten von Internetzugangsanbietern 
an Rechteinhaber übermittelt werden. Der Gesetzgeber 
ist zur Überprüfung der gesetzlichen Regelungen aufge- 
rufen. 

Nach wie vor erreichen mich Eingaben von Bürgerinnen 
und Bürgern, die kostenpflichtig abgemahnt wurden, weil 
sie widerrechtlich Dateien über das Internet heruntergela- 
den hätten. Die Abmahngebühren können sich dabei im 
Einzelfall auf mehrere tausend Euro summieren, ln den 
Abmahnschreiben wurde den Anschlussinhabem mitge- 
teilt, die Rechteinhaber hätten ihre Adresse über die Inter- 
netzugangsanbieter erhalten. Diese haben bei Verdacht 
von Urheberrechtsverletzungen die Möglichkeit, auf 
Grund gerichtlicher Anordnung die Kundendaten eines 
Anschlussinhabers zu erfahren. Wenn der Intemetzu- 
gangsanbieter aufgrund einer solchen Anordnung die 
Kundendaten (Name und Anschrift) an den Rechteinha- 


ber weitergibt, ist dies datenschutzrechtlich nicht zu be- 
anstanden (vgl. 23. TB Nr. 4.8). 

Gleichwohl sehe ich die Entwicklungen in diesem Be- 
reich weiterhin kritisch. Von den Rechteinhabem beauf- 
tragte Unternehmen setzen spezielle Software ein, um 
Intemettauschbörsen systematisch nach Urheberrechts- 
verletzungen zu durchsuchen. Spezielle gesetzliche Rege- 
lungen hierzu existieren nicht. Die Gerichte sehen die 
automatisierte Ermittlung der IP-Adressen möglicher 
Rechteverletzer jedoch als zulässig an. 

Darüber hinaus wurden die Voraussetzungen, unter denen 
die Intemetzugangsanbieter zur Auskunft verpflichtet 
werden können, auf Grund der am 10. August 2012 ver- 
öffentlichten BGH-Entscheidung zu den Voraussetzungen 
des § 101 UrhG (1 ZB 80/11), weiter abgesenkt. Im Rah- 
men des Gesetzgebungsverfahrens zur Einführung des 
Auskunftsanspruchs hatte ich zum Ausdruck gebracht, 
dass dieser auf gravierende Fälle zu begrenzen sei (vgl. 
21. TB Nr. 6.5). Mit dem neuen § 101 UrhG wurde dann 
eine komplizierte Regelung des Auskunflsanspruches ge- 
schaffen, zu dessen Voraussetzungen auch in der Recht- 
sprechung unterschiedliche Meinungen vertreten wurden. 
Einige Gerichte gingen von dem Verdacht einer „Rechts- 
verletzung in gewerblichem Ausmaß“ als Voraussetzung 
für die gerichtliche Anordnung aus und lehnten Anträge 
von Rechteinhabem zum Beispiel dann ab, wenn es sich 
um ältere Musiktitel handelte. Seit der BGH-Entschei- 
dung ist die Schwere des Rechtsverstoßes nicht zu prüfen, 
sondern es genügt der Verdacht einer einfachen Rechts- 
verletzung. 

Da die Instanzgerichte sich an der Entscheidung des BGH 
orientieren werden, dürfte die Zahl der Auskunftsersu- 
chen zunehmen. Deshalb stellt sich die Frage, ob diese 
Rechtslage nicht einen unverhältnismäßigen Eingriff in 
das Femme Idegeheimnis der Anschlussinhaber darstellt. 
Da nach meiner Ansicht der Auskunftsanspmch auf gra- 
vierende Rechtsverletzungen beschränkt werden sollte, 
empfehle ich dem Gesetzgeber, die geltende Rechtslage 
zu überprüfen und sie unter dem Gesichtspunkt der Ver- 
hältnismäßigkeit anzupassen. 

5.2 „ACTA“ - ad acta!? 

Nach europaweiten Protesten hat das Europäische Parla- 
ment am 4. Juli 2012 das Handelsübereinkommen zur Be- 
kämpfung von Produkt- und Markenpiraterie (Anti-Coun- 
terfeiting Trade Agreement - ACTA) mit großer Mehrheit 
abgelehnt. Das Übereinkommen wird bis auf weiteres 
nicht in Kraft treten. 

ln meinem 23. TB (Nr. 4.7) hatte ich über die Verhand- 
lungen zu ACTA berichtet, dessen endgültige Version seit 
Dezember 2010 vorlag. Als bekannt wurde, dass die 
Europäische Union und 22 ihrer Mitgliedstaaten ACTA 
am 26. Januar 2012 gezeichnet hatten, wurde die Kritik 
gegen das Übereinkommen lauter. Die Kritiker von 
ACTA sorgten sich, das Urheberrecht würde zu Lasten 
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der Intemetnutzer verschärft werden. Sie befürchteten 
insbesondere Intemetzensur und Netzsperren nach dem 
„Three-Strikes-Modell“ und eine Überwachung des Inter- 
netverkehrs. 

Die Kritik der Gegner war durchaus begründet, da der 
endgültige Vertragstext viele unbestimmte Regelungen 
enthält. Aus den Bestimmungen lassen sich zwar keine 
konkreten Verpflichtungen zur Änderung des bestehen- 
den Rechts entnehmen, sie lassen aber einen großen Inter- 
pretationsspielraum offen, bis hin zu einer Verpflichtung 
der Zugangsprovider zur Überwachung und Filterung des 
Intemetverkehrs. Die Regelungen hätten somit als 
Vorwand verwendet werden können, um sich für Ver- 
schärfungen der Vorschriften zur Durchsetzung von Ur- 
heberrechten zu Lasten von Informationsfreiheit und Da- 
tenschutz einzusetzen. 

Nach der massiven Kritik der Öffentlichkeit teilte das 
Bundesministerium der Justiz (BMJ) im Februar 2012 
mit, Deutschland werde das Übereinkommen zunächst 
nicht zeichnen. Und die Europäische Kommission er- 
klärte, das Übereinkommen vom Europäischen Gerichts- 
hof (EuGH) auf seine Vereinbarkeit mit den europäischen 
Grundrechten prüfen zu lassen. Auf diese Prüfung kam es 
dann letztlich aber nicht mehr an. Das Europäische Parla- 
ment entschied sich dagegen, seine Abstimmung über 
ACTA bis nach der Entscheidung des EuGH zu vertagen. 
Es stimmte am 4. Juli 2012 gegen ACTA. Damit können 
auch die Mitgliedstaaten der EU dem Übereinkommen 
nicht mehr wirksam beitreten. 

Das Ende von ACTA ist sicherlich nicht der Schlusspunkt 
hinter Bestrebungen, zu internationalen Übereinkünften 
zur Durchsetzung der Rechte des geistigen Eigentums zu 
kommen. Anders als bei dem gescheiterten Vorhaben dür- 
fen die Regelungen aber nicht zu Lasten des Schutzes der 
personenbezogenen Daten und der Informationsfreiheit 
der Bürgerinnen und Bürger gehen. Die verschiedenen 
Rechtspositionen müssen in einen angemessenen Aus- 
gleich gebracht werden. 

5.3 Cloud Computing - heiter bis woikig 

Cloud Computing hat sich zu einem gängigen Geschäfts- 
modell entwickelt. Grund genug, mich auf nationaler und 
internationaler Ebene intensiv dieses Themas anzuneh- 
men. 

Cloud Computing hat sich innerhalb weniger Jahre von 
einem Technologietrend mit überschaubaren Angeboten 
hin zu einem festen Geschäftsmodell entwickelt und auf 
dem weltweiten Markt etabliert. Die Cloud ist für uns all- 
gegenwärtig geworden; egal ob sie vom Smartphone zum 
Abrufen von gespeicherten E-Mails, Fotos oder Musik 
oder für komplexe IT-Prozesse genutzt wird. Oft wissen 
oder merken wir nicht einmal, dass wir Cloud-Dienste in 
Anspruch nehmen und wo die Daten liegen oder wo „ge- 
rechnet“ wird. Dabei kann die Verwendung von Cloud 


nicht nur die Datenverarbeitung erleichtern und z. B. zu 
Kosteneinsparungen führen; unter bestimmten Vorausset- 
zungen können auch weitere Synergieeffekte und zum 
Beispiel ein Plus an IT-Sicherheit erreicht werden. 

Über die Risiken des oft praktizierten Modells der Auf- 
tragsdatenverarbeitung nach der europäischen Daten- 
schutzrichtlinie und § 11 BDSG für das Speichern und 
Verarbeiten von Daten in weltweit vernetzte Rechenzen- 
tren habe ich bereits ausführlich im 23. TB (Nr. 5.6) be- 
richtet. Hier hat es mit der Verabschiedung verbindlicher 
Untemehmensregelungen für Auftragsdatenverarbeiter 
(„BCR for processors“) durch die Artikel-29-Gruppe al- 
lerdings im Berichtszeitraum eine wichtige Entwicklung 
gegeben (vgl. Nr. 2.4. 1.2). 

Problematisch ist in diesem Zusammenhang aber weiterhin 
die Zugriffsmöglichkeit staatlicher Stellen, insbesondere 
aus Drittstaaten auf Daten, die in der Cloud gespeichert 
sind. Dieses Problem betrifft z. B. Anbieter von Cloud- 
Diensten, die Regelungen wie dem US-Patriot Act unter- 
liegen und damit zur Herausgabe von Daten an fremde Si- 
cherheitsbehörden verpflichtet werden könnten. Selbst 
Anbieter, die Subuntemehmen von US-amerikanischen 
Firmen mit Sitz innerhalb Europas sind, aber die Daten 
außerhalb der USA speichern, können davon betroffen 
sein. Diese Einschätzung wurde jüngst durch das Institute 
for Information Law der Universität Amsterdam in einer 
Studie bestätigt (http://www.ivir.nl/index-english.html). 

Nicht zuletzt deshalb halte ich es für nötig, die in die 
Cloud auszulagemden (insbes. sensiblen) personenbezo- 
genen Daten vor dem Hochladen sicher und unter alleini- 
ger Kontrolle des Auftraggebers nach dem Stand der 
Technik zu verschlüsseln. 

Die Rechtsunsicherheit bei der Verarbeitung außerhalb 
der EU/des EWR und das hohe Datenschutzniveau inner- 
halb der EU könnten allerdings auch ein Gewinn und 
Standortvorteil für Cloud „Made in Germany“ oder 
Europa mit sich bringen. 

Die IT- Sicherheitsbranche und Datenschutzbeauftragte 
setzen sich intensiv mit dem Thema auseinander (vgl. 
auch Kasten zu Nr. 5.3). Es gibt allerdings weiterhin viele 
offene Fragen. 

Es wäre z. B. denkbar, eine allgemeine Rechtsgrundlage 
für Datenschutzzertifizierungen und Gütesiegel ähnlich 
wie bei der De-Mail in Deutschland (vgl. Nr. 3.2.4) zu 
schaffen. Internationale Normen und Standards könnten 
für weltweite Vergleichbarkeit von sicheren und daten- 
schutzgerechten Cloud-Lösungen sorgen. Weitere Ent- 
wicklungen, wie etwa die erwartete neue EU-Daten- 
schutzverordnung (vgl. Nr. 2.1.1), werden vermutlich 
auch Veränderungen beim Rechnen in der Wolke mit sich 
bringen. 

Es bleibt also spannend. 
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Kasten zu Nr. 5.3 


Arbeitsgruppen und Veröffentlichungen zum Cloud Computing 

Mit einer Entschließung der 82. Konferenz der Beauftragten für den Datenschutz des Bundes und der Länder wurde die 
Orientierungshilfe - Cloud Computing angenommen. Sie richtet sich an Entscheidungsträger, betriebliche und behördliche 
Datenschutzbeauftragte sowie an IT- Verantwortliche und soll den datenschutzgerechten Einsatz dieser Technologie fordern. 
http://www.datenschutz.bund.de 

Die Artikel-29-Datenschutzgruppe hat im Juli 2012 das Working Paper WP 196 der europäischen Datenschutzbeauf- 
tragten veröffentlicht, welches auf rechtliche Probleme und Risiken beim Cloud Computing aufmerksam macht und 
entsprechende Hinweise gibt. Keminhalte des Papiers sind Ausführungen zum anwendbaren Recht für die Pflichten 
und Verantwortlichkeiten von Cloud-Anbietem und Cloud-Anwendem, technisch-organisatorische Maßnahmen zum 
Schutz der Daten in der Cloud sowie rechtliche und technische Vorgaben für Datentransfers in Drittstaaten. Es wird 
insbesondere daraufhingewiesen, dass alle Subuntemehmer benannt und alle relevanten Details offen gelegt und ver- 
traglich geregelt werden sollten. Aufgenommen in die Opinion wurden auch technische und organisatorische Maß- 
nahmen des Datenschutzes und der Datensicherheit, wie Sie in der Veröffentlichung „Ein modernes Datenschutzrecht 
für das 21. Jahrhunderf“ von der Konferenz der Datenschufzbeauftragten des Bundes und der Länder veröffentlicht 
wurden. Demnach sind neben der Vertraulichkeit, Integrität und Verfügbarkeit ebenso die Schutzziele Isolierung (ent- 
spricht dem in Deutschland gebräuchlichen Begriff der Unverkettbarkeit), Intervenierbarkeit, Rechenschaft und Por- 
tabilität aufgeführt. 

http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wpl96_de.pdf#h2-l 

Weitere Diskussionen auf internationaler Ebene fanden in der Arbeitsgruppe der IWGDPT (International Working 
Group on Data Protection in Telecommunications) im Frühjahr 2012 und auf der 34. Internationalen Datenschutzkon- 
ferenz in Uruguay im letzten Herbst statt (vgl. Nr. 2.4.3). ln ihrem Sopot Memorandum weist die IWGDPT auf ein 
hohes Transparenzgebot hin, während auf der internationalen Datenschutzkonferenz in einer Entschließung unter an- 
derem die Überprüfung und Einhaltung eines ausreichenden Datenschutzniveaus sowie die frühzeitige Berücksichti- 
gung und Implementierung des sogenannten „Privacy by Design“ (PbD) in den Vordergrund gestellt wurden. 
http://datenschutz-berlin.de/content/nachrichten/datenschutznachrichten/%2027-april-2012, 
http://www.datenschutz.bund.de 

Der BfDl engagierte sich zudem in der AG-Rechtsrahmen der Trusted-Cloud-lnitiative des BMWi (http://www.trus 
ted-cloud.de) und in mehreren Arbeitsgruppen der AG4 des IT-Gipfels der Bundesregierung. Dabei wurden in beiden 
Bereichen Papiere mit Datenschutzbezug erarbeitet. Die Veröffentlichung „Datenschutzrechtliche Lösungen für 
Cloud Computing - Ein rechtspolitisches Thesenpapier“ der AG-Rechtsrahmen geht in ihren zehn Thesen auf die 
Problematiken beim Cloud Computing im Zusammenhang mit der Auftragsdatenverarbeitung, der Erteilung von Tes- 
taten und mögliche Akkreditierungen ein. Ein innerhalb der UAG Cloud des IT-Gipfels erarbeitetes Dokument 
„Rechtliche Anforderungen an Cloud Computing - Sichere Cloud-Dienste“ steht leider immer noch aus. Bei einer 
Veranstaltung der AG4 in Bonn im September 2012 hat sich gezeigt, dass Cloud innerhalb der IT-Branche ein kontro- 
vers diskutiertes Thema ist und dass weiterhin offene Fragen der IT-Sicherheit und des Datenschutzes bestehen, auch 
wenn sich bei vertraglicher Beauftragung zur Nutzung von Cloud-Diensten im Vergleich zum klassischen IT-Out- 
sourcing rein datenschutzrechtlich gesehen bis auf die Unbekanntheit des Ortes der Speicherung und Verarbeitung 
nicht „all zu viel“ geändert hat. 

Allgemein werden derzeit immer wieder Forderungen nach Standards und Zertifizierungen beim Cloud Computing 
gestellt, ln einem ersten Schritt hat das Bundesamt für die Sicherheit in der Informationstechnik (BSl) ein Eckpunkte- 
papier unter meiner Mitwirkung erstellt und veröffentlicht, welches Basisanforderungen, Anforderungen an hohe 
Vertraulichkeit und hohe Verfügbarkeit auf Grundlage des IT-Grundschutzes beim Einsatz von Cloud Computing so- 
wie Hinweise zum Datenschutz enthält. Das Eckpunktepapier ist unter (http://www.bsi.de) abrufbar. ln einem nächs- 
ten Schritt ist man gerade dabei eine IT-Sicherheitszertifizierung von Cloud-Technologien vorzubereiten. Schon in 
naher Zukunft wird es beim Cloud Computing geprüfte IT-Sicherheit in Deutschland geben. 


5.4 Stillstand: der Cookie-Paragraph 

Es ist unklar, ob und auf welcher Grundlage die als Coo- 
kie-Paragraph bekannte Regelung der E-Privacy-Richtli- 
nie in Deutschland angewendet werden soll. 

Die Sache ist festgefahren: Das zuständige Bundesministe- 
rium für Wirtschaft und Technologie bleibt bei seiner Mei- 
nung, das Einwilligungserfordemis für das Sefzen von 
Cookies sei eigentlich schon immer im Telemediengesetz 
(TMG) festgeschrieben gewesen (vgl. 23. TB Nr. 4.4), die 


Datenschutzaufsichtsbehörden wenden bisher weiterhin 
überwiegend die Widerspruchsregelung des § 15 Absatz 3 
TMG an, die EU-Kommission schweigt. Sie prüft. 

Verunsichert sind die Anbieter von Intemetdiensten, die 
ihr Angebot rechtskonform gestalten wollen, und die Nut- 
zer, die sich nicht heimlich beobachten lassen wollen. 
Nach einer Lösung gefragt sind immer wieder die Daten- 
schutzbehörden, die für Anbiefer und Nutzer gleicherma- 
ßen Ansprechpartner sind. 
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Wie soll eine Lösung aussehen? Der Vorstoß der SPD- 
Bundestagsfraktion vom Januar 2012 (Bundestagsdruck- 
sache 17/8454), die Einwilligungslösung durch eine Än- 
derung des TMG festzuschreiben, war erfolglos. Ebenso 
meine Bemühungen im Rahmen der Novellierung des Te- 
lekommunikationsgesetzes (vgl. Nr. 6.4). Einschwenken 
auf die Position des Ministeriums? Direktes Anwenden 
der Richtlinie wegen nicht erfolgter Umsetzung? Warten 
auf ein Zeichen der Kommission? Einen Königsweg gibt 
es hier wohl nicht. Vielleicht bleibt nur der (Um-)Weg 
über ein Gericht, das zumindest die Richtung weisen 
kann. 

Erste technische Realisierungen für eine Einwilligung 
werden schon eingesetzt oder entwickelt. Da aber auch 
hier Unklarheiten bestehen, hat die Artikel-29-Gruppe 
begonnen, verschiedene Lösungen zu sammeln und zu 
bewerten, um europaweit zu einer einheitlichen Umset- 
zung des Cookie-Paragraphen zu gelangen. Sie orientiert 
sich dabei auch an ihrer „Stellungnahme zur Ausnahme 
von Cookies von der Einwilligungsp flicht“ (WP 194). 
Die Ergebnisse werden zu gegebener Zeit veröffentlicht. 

Auf internationaler Ebene gibt es Bestrebungen, einen 
„Do-not-track-Standard“ (DNT) zu entwickeln, der es 
den Nutzem ermöglichen soll, eine verbindliche Willens- 
erklämng zur Erfassung ihres Surfverhaltens beim Be- 
such einer Website abzugeben. Dies umfasst dann auch 
das Setzen von Cookies. Der DNT-Standard, an dem vom 
W3C (World Wide Web Consortium) gearbeitet wird, 
sollte ursprünglich Anfang 2013 veröffentlicht werden. 
Allerdings ziehen sich die Arbeiten - auch aufgmnd von 
unterschiedlichen Interessen und deutlichen Zielkonflik- 
ten innerhalb der W3C-Arbeitsgmppe - noch hin. 

Die Artikel-29-Gmppe hat daher erhebliche Zweifel, ob 
der Standard - jedenfalls in seiner „weichen“ Form, wie 
ihn die meisten wirtschaftsnahen Vertreter in der W3C 
befürworten - tatsächlich die Anfordemngen des Arti- 
kels 5 Absatz 3 der E-Privacy-Richtlinie erfüllen wird. 
Europarechtskonform wäre nur eine Lösung, bei der das 
„do not track“ im Header eines Browser-Befehls verbind- 
lich ist und nicht erst das Einblenden von Werbung, son- 
dern auch schon das Setzen von Cookies und das Erheben 
von Daten für Werbezwecke verhindert. Und das muss für 
alle Anbieter gelten, unabhängig davon, ob sie Anbieter 
der besuchten Website (first party) oder Werbeanbieter 
(third party) sind. 

5.5 Hinter verschlossenen Türen: ICANN 
und die neuen Verträge mit den 
Registraren 

Weitgehend unbemerkt werden die Verträge zwischen 
ICANN und den Registrierungsstellen überarbeitet und 
um zusätzliche Pflichten erweitert - leider auch zu Lasten 
des Datenschutzes. 

Die wenigsten Intemetnutzer wissen, wer ICANN ist und 
was diese Stelle tut. Kurz gesagt: Die Internet Corpora- 
tion for Assigned Names and Numbers ist eine nicht auf 
Gewinn ausgerichtete Organisation mit Sitz in den USA 


und koordiniert die Vergabe von Namen und Adressen im 
Internet. Registriemngsstellen in den verschiedenen Län- 
dern - oftmals sind dies Intemetzugangsanbieter - über- 
nehmen als letztes Glied die lokale Vergabe von Domain- 
namen und die Verteilung von IP-Adressen an Personen 
und Organisationen. Zu diesem Zweck schließt ICANN 
mit den Registraren Verträge ab, in denen unter anderem 
geregelt ist, welche Daten von den Endkunden erhoben, 
gespeichert und in den Whols-Datenbanken veröffent- 
licht werden müssen. 

Diese Verträge werden derzeit überarbeitet. An dem Pro- 
zess sind neben den Registraren auch Vertreter der Straf- 
verfolgungsbehörden und - nur beratend - der Regie- 
lungsbeirat GAC (Governmental Advisory Committee) 
beteiligt, der einen ständigen Sitz bei der EU-Kommis- 
sion hat. Datenschützer haben keine Stimme. 

Es verwundert daher nicht, dass insbesondere die „Wün- 
sche“ der Strafverfolger berücksichtigt und in die neuen 
Verträge aufgenommen werden sollen: die jährliche Re- 
verifizierung von Kontaktdaten der Registranten (E-Mail- 
Adresse, Telefonnummer), die beide auch in der Whols- 
Datenbank veröffentlicht werden sollen, und die Speiche- 
rung von personenbezogenen Daten, die weit über das für 
betriebliche Zwecke erforderliche Maß hinausgehen, wie 
z. B. zusätzliche Bankdaten, IP-Adressen, Logfiles etc. 
Diese Daten sollen die Arbeit der Strafverfolger erleich- 
tern, damit die zunehmenden illegalen Handlungen und 
Geschäfte im Internet, wenn nicht verhindert, so doch zu- 
mindest aufgeklärt werden können. 

Ein wesentlicher Grund für die vielfach falschen Anga- 
ben in Whols-Datenbanken ist ICANN seit langem be- 
kannt: Richtige Kontaktdaten, vor allem von Privatperso- 
nen, sind eine Quelle für Spammer, und daher werden bei 
der Registrierung zum eigenen Schutz falsche Daten an- 
gegeben. Dem könnte z. B. durch Einführung des OpoC- 
Models (Operational Point of Contact) abgeholfen wer- 
den, was bisher nicht geschehen ist. Anfragen berechtig- 
ter Stellen würden dann von einer vertrauenswürdigen 
Stelle beantwortet, die die Whols-Daten verwaltet. Dieses 
Modell würde die öffentlichen Whols-Datenbanken erset- 
zen und damit auch den Interessen der Privatpersonen am 
Schutz ihrer Daten Rechnung tragen. 

Die Artikel-29-Gruppe hat sich im September 2012 mit 
einem Schreiben an ICANN gewandt und sich gegen die 
Erweiterungen in den Verträgen ausgesprochen, da sie 
nach europäischem Recht unzulässig seien. Denn Regis- 
trare dürfen nicht vorsorglich und ohne Rechtsgrundlage 
Daten für Strafverfolgungszwecke sammeln und Vorhal- 
ten, die weder für vertragliche Zwecke noch für die Er- 
bringung des Dienstes erforderlich sind. Würden sie dazu 
vertraglich von ICANN verpflichtet, verstießen sie gegen 
europäisches Recht. 

Ob ein Kompromiss gefunden werden kann und es eine 
Ausnahmeregelung für EU-Registrare geben wird, ist of- 
fen. Eine solche wurde jedenfalls in dem Antwortschrei- 
ben von ICANN in Aussicht gestellt. Die Verhandlungen 
dauern noch an. 
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5.6 IPv6 - Wird wirklich gut, was lange 
währt? 

Die schöne neue Welt der geänderten Kennzeichenpflicht 
auf der Datenautobahn hat zwei Seiten. Dem ,, paranoi- 
den“ Nutzer stechen zunächst das ungeheure Überwa- 
chungspotential und die Identiflizierbarkeit des Einzelnen 
ins Auge. Dabei bietet die Neuordnung der IP-Adressen 
auch Raum für datenschutzfreundliche Lösungen und so- 
mit letztlich unbeschwerte ,, Ausfahrten“ auf der Daten- 
autobahn. 

Technologien und Trends im und um das Internet herum 
verbreiten und entwickeln sich in der Regel rasend 
schnell, viel schneller als wir es je in anderen Bereichen 
gewohnt waren. Allerdings scheint es auch beim Internet 
immer wieder Ausnahmen zu geben, die diese Regel be- 
stätigen. Schon wenige Jahre nach der Einführung der ak- 
tuellen Version vier des Intemetprotokolls (IPv4) im 
Jahre 1983 zeichnete sich durch den sprunghaften An- 
stieg der Nutzer ab, dass der zur Verfügung stehende 
Adressumfang sehr bald zur Neige gehen würde. Aller- 
dings wäre man 1998, als man mit der Standardisierung 
des Nachfolge-Protokolls begann, sicher überrascht ge- 
wesen, dass erst zu Beginn des Jahres 2012 der letzte 
Adressblock in Europa ausgegeben wurde. 

Die Nachfolgerversion sechs (IPv6) vergrößert im Ver- 
gleich zu IPv4 den Adressraum um den unglaublichen 
Faktor 2 hoch 96. Insgesamt bietet IPv6 einen Adressvor- 
rat von ca. 340 Sextillionen Adressen. Dies bedeutet, dass 
jeder Quadratmeter der Erdoberfläche in etwa mit 
655 570 793 348 866 943 898 599 Adressen ausgestattet 
werden kann. Würde jede Adresse (ganz gleich ob IPv4 
oder IPv6) durch ein Sandkorn dargestellt, ergäbe die Ge- 
samtheit der Adressen von IPv4 einen handlichen Ball 
mit 8 cm Durchmesser, wohingegen alle IPv6-Adressen 
die Größe eines stattlichen Asteroiden mit einem Durch- 
messer von 350 km erreichen würden. Im Gegensatz zu 
ihrem Vorgänger teilt sich eine IPv6-Adresse in zwei 
gleich große Teile (je 64 bit). Der „vordere“ Teil der Ad- 
resse, das sog. Präfix, dient im Wesentlichen der Identifi- 
kation des Netzsegmentes (beispielsweise des spezifi- 
schen Hausanschlusses). Der „hintere“ Teil, der Interface 
Identifler, komplettiert die Adresse und ist die Identifika- 
tion der einzelnen Netzwerkkarte (vgl. Kasten a zu 
Nr. 5.6). 

Anhand der zuvor genannten Zeiträume ist die Tatsache, 
dass die Intemetadressen des derzeitigen Intemetproto- 
kolls (IPv4) knapp werden, ja schon lange bekannt. 
Dennoch hat die „plötzliche“ Gewissheit der Vergabe der 
letzten Adressblöcke zu Beginn des Jahres 2012 in Unter- 
nehmen und Behörden eine gewisse Hektik hervorgeru- 
fen und die Anstrengungen zur Verwendung des gar nicht 
mehr so neuen Protokolls IPv6 verstärkt. Problematisch 
daran ist: Mit der Erweiterung des Adressraumes ändert 
sich auch die grundlegende Strategie der Adressvertei- 
lung. Es ist (grundsätzlich) zukünftig möglich, jedes an 
das Internet angeschlossene Gerät mit einer eigenen dau- 
erhaften Adresse zu versehen, quasi ein Kennzeichen für 
jeden Compufer, jede Kaffeemaschine und jeden Strom- 
zähler. Angesichts dessen mögen sich jene schon die 
Hände reiben, deren Geschäfte auf der möglichst lücken- 


losen Registrierung des Nutzerverhaltens und der Bildung 
von Verhaltensprofilen basieren. 

Jedoch war das bisher allenfalls Theorie, denn bekommen 
konnte man das Protokoll am hauseigenen Intemetan- 
schluss nur sehr schwer. Verfügbar wurde das Produkt 
erst durch die stille Einführung eines großen Providers, 
der IPv6 nicht als Neu-Produkt, sondern als technischen 
Fortschritt bestehender Produkte sieht. Hier bekommt je- 
der Neukunde bei Beantragung eines Intemetzugangs seit 
September 2012 einen IPv6-basierten Anschluss, und den 
meisten dürfte es nicht mal auffallen. Von Beginn der 
Einführung an wurde auf die soforfige Neuvergabe des 
Präfixes bei der Trennung und dem Wiederaufbau der 
Verbindung Wert gelegt und diese auch realisiert. Bislang 
jedoch nötigt die fehlende Zwangstrennung den Liebha- 
ber wechselnder Adressen, sich das neue Präfix manuell 
durch Ausschalten oder halbautomatisch durch eine 
Zeitschaltuhr an der Stromversorgung des Routers zu or- 
ganisieren. Jedoch sind hier schon bald deutlich komfor- 
tablere Lösungen zu erwarten: ein Knopf auf der Konfi- 
gurationsoberfiäche, mit dem ein neues Präfix erzwungen 
werden kann, sowie eine Funktion, die dies automatisiert 
in bestimmten Intervallen erledigt. 

Meine Umfrage im Jahr 2011 ergab, dass knapp ein Drit- 
tel der 33 angefragten Anbieter von Intemetzugängen im 
Berichtszeitraum nicht über eine Einführung von IPv6 
nachdachfen. Von den resflichen zwei Dritteln ließen die 
Planungen zu diesem Zeitpunkt bereits die Aussage zu, 
dass die Präfixvergabe an den Endkunden dynamisch er- 
folgen würde. Dass dies, wie der Brachenschnellste zeigt, 
auch tatsächlich so umgesetzt wird, habe ich wohlwol- 
lend zur Kenntnis genommen. 

Die Umstellung auf das „neue“ Protokoll wurde in diver- 
sen nationalen und internationalen Gremien hinsichtlich 
der datenschutzfreundlichen Einführung und Ausgesfal- 
tung diskutiert (vgl. Kasten b zu Nr. 5.6). 

Darüber hinaus hat der Arbeitskreis Technische und Or- 
ganisatorische Datenschutzfragen der Konferenz der Da- 
tenschutzbeauftragten des Bundes und der Länder eine 
Orientierungshilfe „Datenschutz bei IPv6“ erarbeitet, die 
sich an Hersteller und Provider im Privatkundengeschäft 
richtet und die wichtigsten Themen rund um die Ände- 
rungen bei der Einführung aufgreift. 

Um auszuleuchten, welche Folgen die Umstellung auf 
das neue Intemetprotokoll haben wird, habe ich im No- 
vember 2011 in Berlin ein Symposium mit dem Titel 
„Intemetprotokoll Version 6 (IPv6) - Wo bleibt der Da- 
tenschutz?“ veranstaltet. Mir ging es insbesondere dämm, 
eine breit angelegte Diskussionsmnde über die Branchen 
hinweg zu etablieren und die daraus entstehenden Syner- 
gieeffekte zu nutzen. Die eingeladenen Referenten aus 
Wissenschaft und Wirtschaft sorgten mit ihren Vorträgen 
und der Beteiligung an der Diskussionsmnde für Transpa- 
renz und klärten über die Vor- und Nachteile einer schlei- 
chenden Umstellung der Protokolle auf Die dort gehalte- 
nen Vorträge sowie die anschließende Diskussionsmnde 
wurden in Form eines Tagungsbandes dokumentiert, der 
auf meiner Website (www.datenschutz.bund.de) abgem- 
fen werden kann. 
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Kasten a zu Nr. 5.6 


Schematische Darstellung einer IPv6-Adresse 
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Kasten b zu Nr. 5.6 


Es haben sich sowohl die 82. und 84. nationale als auch 

die 33. internationale Datenschutzkonferenz mit dem 

Thema lPv6 beschäftigt und im Wesentlichen folgende 

Forderungen festgehalten: 

- Die Provider sollten den Kunden grundsätzlich ein 
dynamisches Präfix ohne Aufpreis zuweisen; ein sta- 
tisches Präfix nur auf expliziten Kundenwunsch. 

- Sollte eine dynamische Vergabe nicht möglich sein, 
muss es eine Möglichkeit der Einflussnahme des 
Kunden geben, die zum Wechsel des Präfixes führt. 

- Interface Identifier und Präfix sollten synchron ge- 
wechselt werden. 

- Verwürfelung des Interface Identifiers („Privacy Ex- 
tensions“) sollte fiächendeckend eingesetzt werden. 

- Im Bezug auf die Reichweitenmessung sollten nicht 
benötigte Adressteile gelöscht werden (nur die ersten 
4 Bytes sind nötig). 

- Der gemeinsame Betrieb von lPv6 und lPv4 („Dual- 
Stack-Betrieb“) sollte vermieden werden; dies gilt 
auch für die als Übergangslösung gedachten Tunnel- 
protokolle. 

Die Entschließungen sind abrufbar unter www.daten 

schutz.bund.de. 


5.7 Internetangebote der Bundesbehörden 

Auch bei der elektronischen Kontaktaufnahme mit Behör- 
den müssen die Bürgerinnen und Bürger sicher sein, dass 
ihre Daten geschützt werden. Ich musste leider feststellen, 
dass dies nicht immer der Fall war. 

Auf vielen Intemetangeboten von Bundesbehörden kön- 
nen Bürgerinnen und Bürger unkompliziert mit den Be- 
hörden in Kontakt treten, um z. B. Informationsmaterial 
anzufordem oder Fragen zu stellen. Dabei werden mittels 
der eingebundenen Kontaktformulare auch personenbe- 
zogene Daten erhoben, die nach § 9 BDSG verschlüsselt 
übertragen werden müssen; dies war nicht immer der 
Fall. 

Im November 2010 erfuhr ich durch die Eingabe eines 
Pefenten, dass das Intemetangebot der Antidiskriminie- 
rungssfelle des Bundes die geltenden Datenschutzbestim- 
mungen nicht einhalte. In diesem Fall wurden personen- 
bezogene Daten wie z. B. Name, Anschrift und E-Mail- 
Adresse, die auf der Homepage dieser Behörde über das 
Kontaktformular erhoben wurden, unverschlüsselt über- 
tragen. Dies habe ich zum Anlass genommen, stichpro- 
benartig Prüfungen bei anderen Bundesbehörden vorzu- 
nehmen. Dabei entdeckte ich weitere vergleichbare Fälle. 
Dies verstößt gegen die Anlage zu § 9 BDSG, nach der zu 
gewährleisten ist, „dass personenbezogene Daten bei der 
elektronischen Übertragung oder während ihres Trans- 
ports [...] nicht unbefugt gelesen, kopiert [...] oder ver- 
ändert werden können“. 


Deutscher Bundestag - 17. Wahlperiode 


-75- 


Drucksache 17/13000 


Im Januar 20 11 habe ich die behördlichen Datenschutzbe- 
auflragten der Obersten Bundesbehörden um entsprechende 
Prüfung aller Intemetangebote sowohl ihrer eigenen Stellen 
als auch der jeweils nachgeordneten Behörden gebeten. 
Von den angeschriebenen 43 behördlichen Datenschutz- 
beauftragten wurden bis zum März 2011 insgesamt 77 In- 
temetseiten benannt, die von Bundesbehörden betrieben 
werden. 

Laut diesen Rückmeldungen gab es dabei 22 verschlüs- 
selte sowie 34 unverschlüsselte Kontaktformulare. Von 
den unverschlüsselten Formularen war aber bei sieben 
eine entsprechende Verschlüsselung bereits in der Vorbe- 
reitung. Bei weiteren 20 Intemetangeboten waren gar 
keine Kontaktformulare vorhanden. Positiv ist auch anzu- 
merken, dass allein aufgrund meiner Anfrage einige For- 
mulare auf den verschlüsselten Betrieb umgestellt wurden 
und ein unverschlüsseltes Formular unmittelbar entfernt 
wurde. Im April 2011 habe ich die behördlichen Daten- 
schutzbeauftragten der Obersten Bundesbehörden über 
das Abfrageergebnis informiert und dazu aufgefordert, 
bei allen noch unverschlüsselt betriebenen Kontaktformu- 
laren geeignete Verschlüsselungsmaßnahmen umgehend 
zu etablieren. Nach meinem jetzigen Kenntnisstand ist 
dieses Verfahren überall abgeschlossen. 

Ergänzend zu meinem o. g. Schreiben habe ich im Ja- 
nuar 2011 auch daraufhingewiesen, dass die Verwendung 
des „Facebook-Like-Buttons“ aus datenschutzrechtlicher 
Sicht bei Intemetangeboten der Bundesbehörden nicht 
akzeptiert werden kann. Zu diesem Zeitpunkt war auf den 
Intemetseiten der Bundesbehörden noch kein „Facebook- 
Like-Button“ implementiert; lediglich eine Bundesbe- 
hörde plante die Einbindung dieses Social-Plugins (vgl. 
auch Nr. 5.8.3). 

Ich werde auch zukünftig die Intemetangebote der Bun- 
desbehörden auf die Einhaltung des Datenschutzes kon- 
trollieren. Aufgmnd der Vielzahl sowie der stetigen 
Erweiterangen und Anpassungen der betriebenen Inter- 
netangebote wird mir eine flächendeckende und aktuelle 
Kontrolle aber leider auch in Zukunft nicht möglich sein. 

5.8 Soziale Netzwerke 

Auch in dieser Berichtsperiode haben sich die Nutzerzah- 
len und die Bedeutung interaktiver Intemetdienste weiter 
verstärkt. Dabei sind soziale Netzwerke von besonderer 
Bedeutung - nicht allein wegen des schieren Umfangs der 
Mitgliederzahlen, sondern auch wegen der Art ihrer Nut- 
zung. Stehen für den Privatnutzer die Möglichkeiten zur 
Kontaktpflege mit „Freunden“ (... dabei kann es sich so- 
gar um echte Freunde handeln oder aber auch nur um ent- 
fernte Bekannte) im Vordergrand, ergeben sich für kom- 
merzielle und behördliche Nutzer neue Wege, mit ihrer 
Kundschaft bzw. mit den Bürgerinnen und Bürgern in 
Kontakt zu treten. Diese neuen Möglichkeiten werden 
aber mit Risiken für den Datenschutz erkauft. Grand ge- 
nug, sich mit diesen Diensten weiterhin kritisch auseinan- 
derzusetzen und auf datenschutzfreundliche Lösungen zu 
drängen. 


Unter den sozialen Netzwerken ist Facebook das erfolg- 
reichste weltweit und wohl auch das beliebteste. Ob die 
Millionen von Nutzem die - aus Datenschutzsicht - rich- 
tige Wahl getroffen haben, sollte eine Prüfung zeigen, die 
einen Blick in die Verarbeitung der Nutzerdaten erlaubte. 
Interesse an einem solchen Audit bestand bei allen euro- 
päischen Datenschutzbehörden gleichermaßen, kamen 
doch immer wieder neue „Streiche“ ans Licht. Das Audit 
wurde durch die irische Datenschutzbehörde durchge- 
führt. 

5.8.1 Alles gut? Facebook nach dem Audit 

Die irische Datenschutzbehörde hat das soziale Netzwerk 
Facebook geprüft und die Ergebnisse in einem Bericht 
veröffentlicht. Trotzdem bleiben viele datenschutzrechtli- 
che Fragen unbeantwortet. 

Manch einer wird sich sicherlich fragen, wamm die iri- 
sche Datenschutzbehörde ein US-amerikanisches soziales 
Netzwerk prüft und dabei auch die notwendige Unterstüt- 
zung durch das Netzwerk erhält. Und warum nicht deut- 
sche Datenschutzbehörden dies in gleicher Weise tun 
können. Die Antwort ist einfach und lässt doch viele Fra- 
gen offen: Facebook Ltd. in Irland sei die verantwortliche 
Stelle für die Datenverarbeitung in Europa, die Datenver- 
arbeitung selbst erfolge in deren Auftrag durch Face- 
book Ine. in den USA. Sagt Facebook Ine. 

Will man dieses Konstmkt anerkennen, so ergibt sich aus 
der EU-Datenschutzrichtlinie 95/46/EG und dem BDSG 
die Anwendbarkeit des irischen Datenschutzrechts und 
damit die Kontrollzuständigkeit der irischen Datenschutz- 
behörde. Eine alleinige Zuständigkeit beanspmcht diese 
jedoch nicht. Auch aus diesem Gmnde konnten die euro- 
päischen Datenschutzbehörden in der Artikel-29-Grappe 
die Probleme aus den eigenen Ländern ansprechen und 
den irischen Datenschutzbeauftragten um Berücksichti- 
gung bitten. 

Wenig Zustimmung findet die Position von Facebook bei 
einigen deutschen Landes-Aufsichtsbehörden, die auch 
ihre Zuständigkeit gegeben sehen, weil Daten von Face- 
book-Nutzem in Deutschland erhoben und verwendet 
werden. Facebook beharrt jedoch auf seiner Position, und 
so blieben Fordemngen aus den deutschen Datenschutz- 
gesetzen letztendlich immer dann unberücksichtigt, wenn 
vergleichbare Regelungen im irischen Recht nicht beste- 
hen. 

Dies ist z. B. der Fall bei der sog. Klamamenpfiicht, die 
Facebook in seinen Nutzungsbedingungen festgeschrie- 
ben hat. Die Begründung: Die Idee des sozialen Netz- 
werks sei, dass jeder wisse, mit wem er es zu tun habe. 
Und: Die Sicherheit müsse gewährleistet werden. Das 
deutsche Telemediengesetz sieht nun aber vor, dem Nut- 
zer eine anonyme Nutzung oder die Verwendung eines 
Pseudonyms zu ermöglichen, soweit dies technisch mög- 
lich und zumutbar ist. Im irischen Datenschutzrecht fehlt 
eine solche Vorschrift, die Klamamenpfiicht wurde daher 
bei der Prüfung nicht beanstandet. Solche und ähnliche 
Probleme, die durch die globalisierte Informationsverar- 
beitung bei unterschiedlichen oder fehlenden nationalen 
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Gesetzen entstanden sind, sollen durch die EU-Daten- 
schutz-Grundverordnung gelöst werden (vgl. Nr. 2.1), die 
ja einen stärker harmonisierten Rechtsrahmen gewähr- 
leisten soll. 

Um seine „Namensrichtlinie“ durchzusetzen, hat Face- 
book die Nutzer aufgerufen, solche Nutzer zu melden, die 
unter falschem Namen angemeldet sind. Die Folge einer 
solchen Meldung ist eine Sperre des Accounts, bis der 
Betroffene seine (wahre) Identität durch die Übersendung 
einer Ausweiskopie offenlegt. Dieses „harte Durchgrei- 
fen“ war Anlass für eine deutsche Aufsichtsbehörde, ge- 
gen Facebook eine Anordnung zu erlassen, durch die 
Facebook verpflichtet werden soll, die pseudonyme Nut- 
zung zu ermöglichen und gesperrte Accounts wieder frei- 
zuschalten. Das Verfahren war bei Redaktionsschluss 
noch nicht abgeschlossen. 

Möglicherweise lässt sich im weiteren Diskussionspro- 
zess mit Facebook ein Kompromiss durchsetzen, der von 
der Artikel-29-Gruppe in ihrer Stellungnahme zu sozialen 
Netzwerken (WP 163) als datenschutzfreundliche Lösung 
vorgestellt wurde: Bei der Registrierung müssen die rich- 
tigen Daten angegeben werden, der Nutzer kann sich aber 
im Netzwerk unter einem Pseudonym bewegen. 

Die irische Datenschutzbehörde veröffentlichte im De- 
zember 2011 den Bericht über das Audit, das in Anwen- 
dung des irischen und EU-Rechts über mehrere Monate 
durchgeführt worden war. Danach hatte Facebook die 
Möglichkeit, Stellung zu nehmen und Änderungen und 
Nachbesserungen durchzuführen. Eine Überprüfung 
durch die irische Datenschutzbehörde schloss sich an und 
der entsprechende abschließende Bericht wurde im Sep- 
tember 2012 veröffentlicht. 

Insgesamt hat die Prüfung zu Verbesserungen für die Nut- 
zer geführt. So wurden die Nutzungsbedingungen und 
Datenverwendungsrichtlinien im Sinne einer größeren 
Transparenz übersichtlicher und detaillierter gestaltet, die 
Kontrolle des Nutzers über seine Einstellungen erhöht 
und die Zugriffsmöglichkeit des Nutzers auf seine Daten 
verbessert. Ein großer Erfolg ist das Abschalten der Ge- 
sichtserkennung für alle Nutzer in der EU. Dies geht 
jedoch nicht nur auf das Konto der irischen Datenschutz- 
behörde, sondern ist auch dem Einsatz hiesiger Aufsichts- 
behörden zu verdanken. 

Neben dem Problem der Klamamenpflicht gibt es die 
Forderung, datenschutzfreundliche Voreinstellungen an- 
zubieten. Dies ist zwar gesetzlich nicht festgeschrieben, 
wird aber auch von der Artikel-29-Gruppe als wesentli- 
ches Element einer vorbildlichen Datenschutzpolitik an- 
gesehen und sollte daher zur Unterstützung der Nutzer 
umgesetzt werden. Die irische Datenschutzbehörde wird 
sich bei den weiteren Beratungsgesprächen mit Facebook 
dafür einsetzen. Denn leider tut sich (auch) Facebook 
noch schwer. Also doch (noch) nicht alles gut? 

5.8.2 Dürfen Behörden Facebook-Fanpages 
nutzen? 

Immer wieder erreichen mich Anfragen nach der Zuläs- 
sigkeit behördlicher Fanpages. Leider ist eine pauschale 
Antwort nicht möglich. 


Viele private Firmen und Unternehmen betreiben mittler- 
weile auf Facebook eigene Fanpages, um z. B. neue Pro- 
dukte vorzustellen oder für sich zu werben. Von besonde- 
rem öffentlichen Interesse war im Berichtszeitraum die 
Verwendung von Fanpages durch Polizeibehörden für 
Fahndungszwecke (vgl. Nr. 7.4.7). Dabei scheint Face- 
book für die Verantwortlichen das geeignete Medium zu 
sein, um ganz gezielt ein jüngeres Publikum zu erreichen 
und interaktiv mit den Nutzem in Verbindung zu treten. 
Diese neuen Möglichkeiten werden auch zunehmend von 
den Bundesbehörden entdeckt, die entweder bereits ei- 
gene Fanpages betreiben oder dies planen. Bei allem Ver- 
ständnis dafür, über Fanpages ein spezielles Zielpublikum 
erreichen zu wollen, muss natürlich der Datenschutz be- 
achtet werden. 

Bei einer Fanpage handelt es sich um eine Art von Home- 
page, die durch Facebook publiziert („gehostet“) wird. 
Für den Inhalt dieser Fanpage ist nicht Facebook, sondern 
deren Betreiber, also die jeweilige Behörde, verantwort- 
lich. Zur Erstellung dieser Seite muss sich der potentielle 
Fanpagebetreiber zunächst als Nutzer bei Facebook an- 
melden. Erst dann kann seine Seite erstellt und auch be- 
treut werden. Somit ist die bei Facebook registrierte Per- 
son bzw. Stelle einerseits Nutzer von Facebook und durch 
den Betrieb der Fanpage andererseits Diensteanbieter im 
Sinne des Telemediengesetzes. 

Bei der Prüfung der Zulässigkeit solcher Fanpages ist zu 
beachten, dass es sich bei Facebook zwar um ein US- 
amerikanisches Unternehmen handelt, der europäische 
Markt jedoch von Facebook Ireland Limited bedient 
wird. Insoweit liegt die Datenschutzaufsicht für Facebook 
beim irischen Datenschufzbeauftragfen. Dieser hat im 
Rahmen eines Datenschutzaudits sowie einer Nachprü- 
fung die Einhaltung des Datenschutzes überprüft bzw. 
wirkt auf diese hin (vgl. Nr. 5.8.1). Obwohl im Zuge die- 
ses Audits Facebook wesentliche datenschutzrechtliche 
Anpassungen vorgenommen bzw. die Umsetzung zuge- 
sagt hat, sehe ich einige Punkte wie z. B. die Übertragung 
von Nutzerdaten in die USA kritisch. Sobald die daten- 
schutzrechtliche Anpassung des Intemetangebotes von 
Facebook abgeschlossen ist, werde ich prüfen, ob und un- 
ter welchen Rahmenbedingungen der Betrieb von Fan- 
pages durch Bundesbehörden unter datenschutzrechtli- 
chen Gesichtspunkten akzeptabel ist. 

Unabhängig von der grundsätzlichen Zulässigkeit müssen 
die Behörden ihre Angebote auf sozialen Netzwerken da- 
tenschutzgerecht ausgestalten. Dies bedeutet etwa, dass 
eine Bundesbehörde oder Krankenkasse die Nutzer nicht 
dazu einladen dürfen, sensible Informationen über die 
Fanpage beim sozialen Netzwerk preiszugeben. Manche 
Probleme lassen sich auch dadurch vermeiden, dass die 
Nutzer von der Fanpage direkt auf ein von der Behörde 
gehostetes eigenes Angebot weitergeleitet werden. Auf 
jeden Fall sollte die direkte Kommunikation mit dem 
Bürger über sichere Kanäle abgewickelt werden, etwa 
über ssl-verschlüsselte Formulare oder über De-Mail 
(vgl. Nr. 3.2.4). „Persönliche Mitteilungen“ über ein tech- 
nisch außerhalb Europas abgewickeltes System sollten 
dabei nach Möglichkeit vermieden werden. 
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5.8.3 Datenschutzgerechte Einbindung von 
„Sociai Piugins“ 

In vielen Internetangeboten sind mittlerweile sog. Social 
Plugins eingebunden, eines der bekanntesten davon ist 
der „Facebook-Like-Button“ . Dessen Verwendung ohne 
besondere Vorkehrungen verstößt gegen geltendes Daten- 
schutzrecht. Technisch, etwa durch ein „zwei-Klick-Ver- 
fahren “, lassen sich derartige Probleme entschärfen. 

Durch die Einbindung von Social Plugins bekannter so- 
zialer Netzwerke in die eigenen Websites versprechen 
sich die Betreiber höhere Zugriffszahlen, da über diese 
Portale Seitenempfehlungen ausgetauscht werden. Auch 
bei Bundesbehörden gibt es Bestrebungen, durch Einbin- 
dung von Social Plugins in die Intemetangebote auf sich 
aufmerksam zu machen. Datenschutzrechtlich ist dies kri- 
tisch zu sehen, wie das Beispiel des Facebook-Like-But- 
tons zeigt. 

Beim Facebook-Like-Button bindet Facebook selbst auf 
der Website ein sog. Facebook-Frame in den Quellcode 
ein. Hierdurch wird bei jedem Aufruf dieser Intemetseite 
auf dem Rechner ein Facebook-Cookie mit einer Gültig- 
keitsdauer von zwei Jahren gesetzt. Zusätzlich wird beim 
Seitenaufruf der „Referer“ (die Intemetadresse der Web- 
seite, von der der Benutzer durch Anklicken eines Links 
zu der aktuellen Seite gekommen ist) und die dazugehö- 
rige URL an den Facebook- Server geschickt. Damit er- 
fährt der Diensteanbieter, welche Webseite ein Nutzer ge- 
rade aufgerufen hat. Somit ist eine Nutzerbeobachtung 
auch von solchen Personen möglich, die gar nicht Mit- 
glied bei Facebook sind. Wenn die Seite von einem ange- 
meldeten Facebook-Mitglied aufgerufen wird, wird durch 
das Skript zusätzlich die Sitzungs-ID an Facebook über- 
tragen und kann dort der jeweiligen Person direkt zuge- 
ordnet werden. Für diesen Personenkreis ist dem Unter- 
nehmen eine umfassende namentliche Registrierung der 
Intemetnutzung und eine Profilbildung möglich. 

Diese Datenübertragung steht im Widerspruch zu § 13 
Absatz 1 TMG (vgl. Kasten zu Nr. 5.8.3). 

Zur datenschutzgerechten Einbindung von Social Plugins hat 
ein deutscher Verlag im November 2011 die sog. 2-Klick-Lö- 
sung vorgestellt. Bei diesem Ansatz sind Social Plugins 
bei Aufruf der Seite zunächst inaktiv, so dass keine Da- 
tenübertragung stattfindet. Erst bei Anklicken der Plugins 
können diese aktiviert werden. Bei diesem zweistufigen 
Verfahren erhält der Nutzer nach Anklicken zunächst den 
Hinweis gemäß TMG, dass personenbezogene Informa- 
tionen an das entsprechende soziale Netzwerk übertragen 
und unter Umständen auch im nichteuropäischen Ausland 
gespeichert werden. Der Nutzer kann also selbst darüber 
entscheiden, ob er dies möchte. Erst danach ist das einge- 
bettete Programm wie oben beschrieben aktiv. Aus mei- 
ner Sicht stellt das Verfahren einen gangbaren Weg dar. 
Social Plugins datenschutzgerecht in Intemetangebote 
einzubinden. 


Kasten zu Nr. 5.8.3 


§ 13 Absatz 1 TMG 
Pflichten des Diensteanbieters 

Der Diensteanbieter hat den Nutzer zu Beginn des Nut- 
zungsvorgangs über Art, Umfang und Zwecke der Erhe- 
bung und Verwendung personenbezogener Daten sowie 
über die Verarbeitung seiner Daten in Staaten außerhalb 
des Anwendungsbereichs der Richtlinie 95/46/EG des 
Europäischen Parlaments und des Rates vom 24. Okto- 
ber 1995 zum Schutz natürlicher Personen bei der Ver- 
arbeitung personenbezogener Daten und zum freien 
Datenverkehr (ABI. EG Nr. L 281 S. 31) in allgemein 
verständlicher Form zu unterrichten, sofern eine solche 
Unterrichtung nicht bereits erfolgt ist. Bei einem auto- 
matisierten Verfahren, das eine spätere Identifiziemng 
des Nutzers ermöglicht und eine Erhebung oder Ver- 
wendung personenbezogener Daten vorbereitet, ist der 
Nutzer zu Beginn dieses Verfahrens zu unterrichten. Der 
Inhalt der Unterrichtung muss für den Nufzer jederzeit 
abmfbar sein. 


5.9 Kampf mit Giganten 

Die Prüfung der neuen Datenschutzerklärung von Google 
ist abgeschlossen. Sie wurde als Pilot-Projekt ,, einer für 
alle“ der ArtikeT29-Gruppe durch die französische CNIL 
durchgeführt. Nun wird auch die Prüfung des geänderten 
Nutzungsvertrags und der Datenschutzerklärung von Mi- 
crosoft vorbereitet. 

Google hatte Ende Januar 2012 angekündigt, seine neue 
Datenschutzerklärung zum 1. März 2012 in Kraft zu set- 
zen. Sie sollte umfassend überarbeitet und natürlich im 
Sinne der Nutzer verbessert worden sein: einfach, klar und 
transparent. Die Auffordemng der Artikel-29-Gruppe, den 
Termin zu verschieben und so eine datenschutzrechtliche 
Prüfung zu ermöglichen, wurde abgelehnt. Die Begrün- 
dung überraschend: Die Nutzer hätten mehr als einen Mo- 
nat Zeit gehabt, die neue Privacy Policy zu lesen und zu 
verstehen. Und man sei zuversichtlich, dass die Anforde- 
rungen der europäischen Datenschutzgesetze erfüllt seien. 

Was dann der Öffentlichkeit präsentiert wurde, entsprach 
aber in wesentlichen Punkten keineswegs den Anforderun- 
gen des EU-Datenschutzrechts. Dies ergab schon eine erste 
Analyse, die federführend von der französischen Daten- 
schutzbehörde (CNIL) im Auftrag der Artikel-29-Gruppe 
umgehend nach Bekanntwerden der Datenschutzerklärung 
durchgeführt wurde. Zwar konnte es als Verbesserung an- 
gesehen werden, dass die zahlreichen Datenschutzerklä- 
rungen - immerhin 70 an der Zahl - nun in einem einzigen 
Dokument zusammengefasst worden waren, das einiger- 
maßen übersichtlich und für den normalen Intemetnutzer 
verständlicher daherkam. Aber dabei blieben Genauigkeit 
und Detailtiefe auf der Strecke, an deren Stelle sich nun all- 
gemeine Formulierungen befinden, etwa: 

„Wir erfassen möglicherweise gerätespezifische Informa- 
tionen (beispielsweise das von Ihnen verwendete Hard- 
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ware-Modell, die Version des Betriebssystems, eindeutige 
Gerätekennungen und Informationen über mobile Netz- 
werke, einschließlich Ihrer Telefonnummer). Google ver- 
knüpft Ihre Gerätekennungen oder Telefonnummer gege- 
benenfalls mit Ihrem Google-Konto.“ 

„Wir nutzen diese Informationen außerdem, um Ihnen 
maßgeschneiderte Inhalte anzubieten - beispielsweise um 
Ihnen relevantere Suchergebnisse und Werbung zur Ver- 
fügung zu stellen.“ 

Derartige Formulierungen bieten viel Raum für beliebige 
Auslegungen, sicherlich zum Vorteil für Google. Den 
Nutzer lässt dies letztendlich ratlos und genau so schlau 
wie vorher zurück. 

Die Information des Nutzers ist nicht ausreichend, er er- 
fährt nicht, welcher Zweck, welche Daten, welche Zu- 
griffsrechte für einen bestimmten Dienst relevant sind, 
den er gerade nutzen will. Weit schwerwiegender, weil 
weitreichender und unkontrollierbar, ist die Verknüpfung 
und Auswertung aller Daten eines Nutzers aus den ver- 
schiedenen Diensten, die Google ohne Wenn und Aber 
einführt: keine detaillierten Informationen und vor allem 
keine Einwilligung - nicht einmal eine Widerspruchs- 
möglichkeit ist vorgesehen. Damit räumt sich Google 
nicht nur die Möglichkeit ein, umfassende Nutzerprofile 
zu erstellen, sondern diese diensteübergreifend zu Meta- 
profilen zusammenzuführen. Google-Chef Larry Page 
rechtfertigt die Verknüpfung der Daten damit, dass nur so 
innovative Angebote mit Mehrwert für die Nutzer mög- 
lich seien. Eine indirekte Botschaft an die Datenschützer, 
dass sie mit Überregulierung und Verboten die technische 
Entwicklung hemmen? Bei der Debatte um die ambitio- 
nierte europäische Datenschutzreform (vgl. Nr. 2.1) hört 
man dies auch von anderen Lobbyisten. 

Die CNIL begann umgehend nach Inkraftsetzen der Pri- 
vacy Policy mit der detaillierten datenschutzrechtlichen 
Untersuchung. Was dann ablief, war ein Frage-und-Ant- 
wort-Spiel, in dem Google zwar rein formal seinen Ko- 
operationswillen bestätigte, im Inhaltlichen aber zu oft 
den Kernfragen auszuweichen versuchte. Die europäi- 
schen Datenschutzbeauftragten der Artikel-29-Gruppe 
waren in den gesamten Prozess eng eingebunden. 

Die Ergebnisse der Prüfung wurden Google im Okto- 
ber 2012 mitgeteilt. Zusammenfassend kann gesagt 
werden, dass Google die wesentlichen Datenschutz-Prin- 
zipien - Zweckbegrenzung, Datenminimierung, Verhält- 
nismäßigkeit, Recht auf Widerspruch - nicht beachtet. 
Für die Überarbeitung der Datenschutzerklärung und die 
erforderlichen Änderungen in der Praxis wurde eine Frist 
bis Mitte Februar 2013 gesetzt. Trotz erklärter Bereit- 
schaft zur Kooperation lassen die Erfahrungen aus ver- 
gangenen Verfahren vermuten, dass Google durch fort- 
laufenden Briefwechsel und immer neu verpackte 
Argumentation das Verfahren verschleppen wird. Die Ar- 
tikel-29-Gruppe wird darauf vorbereitet sein und reagie- 
ren. 

Microsoft hat im September 2012 seinen „Vertrag über 
Microsoft-Dienste“ {Services Agreement) geändert, eine 
weitere Überarbeitung ist angekündigt. Da sich dies auch 


auf die Privacy Policy auswirkt und zahlreiche Dienste 
von Microsoft betroffen sind, hat die Artikel-29-Gruppe 
beschlossen, eine ähnliche Prüfung wie bei Google 
durchzuführen. Die Federführung wird der Datenschutz- 
beauftragfe von Luxemburg (CNPD), unterstützf von der 
CNIL, übernehmen. Microsoft wurde Mitte Dezem- 
ber 2012 über die geplante Prüfung informiert und um ei- 
nen Aufschub der Revision bis zum Ende des Verfahrens 
gebeten. 

5.10 Zahlen, bitte 

Was früher der Dialer tat, erledigt heute die App. Zahlen 
muss aber immer noch der Kunde! 

Sie sind ja ach so niedlich, wenn nicht gar noch praktisch, 
diese kostenlosen Apps für unsere unverzichtbaren Be- 
gleiter, die Smartphones. Man kann damit die Kinder be- 
schäftigen oder aber auch mal eben ein Regal akkurat 
ausrichten. Ärgerlich wird es nur, wenn man - mangels 
dritter Hand - beim Handwerken statt der Bedienknöpfe 
der Smartphone- Wasserwaage das Werbebarmer trifft. In 
diesem Fall könnte die Anschaffung eines richtigen 
Werkzeugs billiger gewesen sein. 

Hinter vielen Werbeeinblendungen in kostenlosen Appli- 
kationen von Smartphones verbirgt sich, wie Petenten mir 
berichteten, eine perfide Masche, dem Kunden das Geld 
aus der Tasche zu ziehen. Ich habe diese Eingaben zum 
Anlass genommen, das Thema genauer zu beleuchten. 

In der App-Branche ist es üblich, durch die Reservierung 
von Werbefiächen innerhalb der App einen Teil der Ent- 
wicklungskosten zu decken. Diese Werbefiächen werden 
meist von Werbenetzwerken mit Kontext gefüllt, auf den 
die Entwickler keinen Einfluss haben. Ziel dieser Ver- 
marktungsstrategie ist es, sowohl den Anbieter des Wer- 
beplatzes als auch den Werbenden am Kunden verdienen 
zu lassen. Berührt man ein solches Banner, wird man häu- 
fig auf eine sog. Landing Page, eine speziell hergerichtete 
Intemetseite, geleitet, die über das Angebot des Banners 
informieren soll. Entscheidend ist allerdings nicht, wel- 
che Seite man aufruft, sondern welche (unsichtbaren) In- 
formationen diesem Aufruf anhänglich sind. 

Auf Nachfrage teilten mir die Telekommunikationsunter- 
nehmen mit, dass hierbei häufig die Mobile Subscriber 
ISDN Number (MSISDN), also die weltweit eindeutige 
Rufnummer des Kunden an die Anbieter von Mehrwert- 
diensten übergeben wird, damit diese ihre Dienste über 
den Telefonanbieter abrechnen können. Dies wird schon 
seit über zehn Jahren so praktiziert. Auch die Kunden 
werden bei Vertragsabschluss darüber informiert - die 
Daten gehen ausschließlich an die vertraglich gebunde- 
nen Mehrwertdiensteanbieter. Verwunderlich dabei ist 
allerdings die Renaissance eines längst ausgestorben ge- 
glaubten Protokolls - Wireless Application Protocol 
(WAP). Einst der Vorreiter des „mobilen Internets“, wie 
wir es heute kennen, hat es nie eine breite Verwendung 
gefunden und ist schließlich (zunächst) in der Versenkung 
verschwunden. Dieses Protokoll nutzte schon jeher die 
Weitergabe von Daten wie die MSISDN zum komfortab- 
len Erwerb von Leistungen und Diensten. Da es nun aber 
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verdeckt im Hintergrund genutzt wird, sind sich viele 
Kunden der Tatsache nicht bewusst, dass sie bereits mit 
dem Berühren eines Banners einen Kauf getätigt haben - 
ob es sich dabei jedes Mal wirklich um einen wirksamen 
Vertragsabschluss handelt, ist zumindest zweifelhaft. 

Zudem zeigte sich, dass auch moderne Intemetprotokolle 
nicht ganz unberührt von dieser Industrie bleiben. So 
wird in der Literatur berichtet, dass auch über das bzw. 
mittels des Hypertext Transfer Protocol (HTTP) ähnliche 
personenbezogenen Daten innerhalb der Protokollkopfda- 
ten übertragen werden. Ich habe mir diese Thematik für 
Kontrollen im nächsten Berichtszeitraum vorgemerkt, da- 
mit ich mir ein eigenes Bild von den Technologien und 
Verfahren machen kann. 

Über den reinen Verfahrensaspekt hinaus birgt dieses 
Thema Diskussionsbedarf bezüglich der Rechtsgrundlage 
der Übermittlung von personenbezogenen Daten. Diesem 
Themenkomplex hat sich die Bundesnetzagentur ange- 
nommen und im Jahr 2011 eine Umfrage bei den betref- 
fenden Anbietern gestartet. Derzeit stellt sich die Lage, 
ohne dass das Verfahren abgeschlossen ist, wie folgt dar: 
§ 97 Absatz 5 TKG (vgl. Kasten zu Nr. 5.10) greift im 
Falle der Übermittlung der MSISDN nicht, da das Ge- 
schäftsmodell den Forderungsverkauf vorsieht und somit 
nicht die Forderung eines Dritten, sondern eine eigene ab- 
gerechnet wird. In Übereinstimmung mit der Bundesnetz- 
agentur bedarf die Datenübermittlung hier stets einer gül- 
tigen Einwilligung des Nutzers. Ohne Einwilligung wäre 
die Übermittlung ohne Rechtsgrundlage und damit unzu- 
lässig. 

Kasten zu Nr. 5.10 


§ 97 TKG (Auszug) 

Entgeltermittlung und Entgeltabrechnung 

(5) Zieht der Diensteanbieter mit der Rechnung Ent- 
gelte für Leistungen eines Dritten ein, die dieser im 
Zusammenhang mit der Erbringung von Telekommuni- 
kationsdiensten erbracht hat, so darf er dem Dritten Be- 
stands- und Verkehrsdaten übermitteln, soweit diese im 
Einzelfall für die Durchsetzung der Forderungen des 
Dritten gegenüber seinem Teilnehmer erforderlich sind. 


6 Telekommunikation und Post 

6.1 Die Vorratsdatenspeicherung - eine 

unendliche Geschichte? 

Seit nunmehr über sechs Jahren scheiden sich an der Vor- 
ratsdatenspeicherung die Geister. Die Bedenken ver- 
schiedener europäischer Gerichte dürfen nicht ignoriert 
werden. Das ,, Was “ und ,, Wie “ einer neuen Regelung sind 
allerdings nach wie vor unklar. 

In meinem letzten TB habe ich gefragt: „Vorratsdatenspei- 
cherung: Quo vadis?“ (vgl. 23. TB Nr. 6.1). Zwei Jahre 
später ist trotz vieler Diskussionen nicht erkennbar, in 


welche Richtung sich der europäische und der deutsche 
Gesetzgeber bewegen werden. 

So hat die Europäische Kommission im April 2011 einen 
Evaluierungsbericht über die der Vorratsdatenspeiche- 
rung (VDS) zu Grunde liegende Richtlinie 206/24/EG 
veröffentlicht. Darin listete sie gleich eine ganze Reihe 
von Mängeln auf, die sich fast auf sämtliche Aspekte der 
getroffenen Regelungen beziehen. So konnte die durch 
die Richtlinie bezweckte Harmonisierung des europäi- 
schen Telekommunikationsmarktes offensichtlich nicht 
erreicht werden. Ebenso wurde kritisiert, dass Statistiken, 
die zu einer umfänglichen Bewertung der Umsetzung der 
Richtlinie in den Mitgliedstaaten eigentlich erforderlich 
gewesen wären, nur spärlich, nicht aussagekräftig und in 
einigen Fällen sogar gar nicht von den Mitgliedstaaten 
zur Verfügung gesfellt worden seien. Darüber hinaus wur- 
den unterschiedliche Mankos beispielsweise bei Defini- 
tionen oder Vorgaben zur Zweckbindung der Datenver- 
wendung festgestellt. Schließlich ist deutlich geworden, 
dass die in der Richtlinie vorgesehene maximal zulässige 
Speicherdauer von zwei Jahren viel zu lang bemessen ist, 
da die von den Sicherheitsbehörden abgefragten Daten zu 
70 Prozent nicht älter als drei und nur zu 10 Prozent älter 
als sechs Monate waren. 

Angesichts dieser unübersehbaren und erheblichen Pro- 
bleme hat mich die Erklärung der Europäischen Kommis- 
sion überrascht, die Richtlinie habe sich grundsätzlich be- 
währt und bedürfe lediglich einer Überarbeitung. Hierzu 
wurden im Laufe des Jahres 2011 mehrere Workshops 
mit Interessenvertretem von Wirtschaft, Regierungen, 
Nichtregierungsorganisationen und Datenschutzaufsichts- 
behörden durchgeführt, auf denen einzelne Lösungs- 
ansätze diskutiert wurden. Ebenso gab die Kommission 
mehrere Studien in Auftrag, unter anderem über die Mög- 
lichkeit, „Quick-Freeze“- Verfahren im Zusammenhang 
mit der VDS einzusetzen. Ergebnisse wurden allerdings 
bislang nicht präsentiert, stattdessen aber der Termin für 
die Veröffentlichung des Entwurfs einer überarbeiteten 
Richtlinie immer wieder verschoben. War ursprünglich 
eine erste Version bereits für Ende 2011 angekündigt, hat 
EU-Innenkommissarin Malmström im Oktober 2012 ver- 
kündet, sie könne noch nicht absehen, wann mit einer 
Veröffentlichung zu rechnen sei. Als Grund für die Verzö- 
gerung benannte sie unter anderem die technische und 
rechtliche Komplexität des Themas. Dies erscheint umso 
bemerkenswerter, als die Kommission, die sich selbst 
nicht in der Lage sieht, die als mangelhaft bewertete 
Richtlinie zeitnah zu überarbeiten, gleichzeitig von den 
Mitgliedstaaten verlangt, diese Richtlinie in nationales 
Recht umzusetzen. Deutschlands gesetzgeberische Be- 
mühungen im Nachgang der Nichtigerklärung des ersten 
Umsetzungsgesetzes durch das Bundesverfassungsgericht 
im Frühjahr 2010 gingen der Kommission jedenfalls 
nicht schnell genug, so dass sie im Mai 2012 eine Nicht- 
umsetzungsklage vor dem Europäischen Gerichtshof ge- 
gen die Bundesrepublik erhob. 

Zwar hatte das Bundesjustizministerium im Juli 2011 
meinen Vorschlag aufgegriffen und einen ersten Diskus- 
sionsentwurf für ein „Quick-Freeze“-Gesefz („Gesetz zur 
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Sicherung vorhandener Verkehrsdaten und Gewährleis- 
tung von Bestandsdatenauskünften im Internet“) vorge- 
stellt. Dieser hat bislang aber nicht den Weg ins Kabinett 
gefunden, da das Bundesinnenministerium weiterhin an 
einer umfassenden Vorratsdatenspeicherung festhält. Ziel 
des Entwurfs war die Schaffung einer Rechtsgrundlage, 
nach der Strafverfolgungsbehörden Telekommunikations- 
Unternehmen anweisen können, die Daten eines konkret 
im Verdacht stehenden Kunden vorübergehend nicht zu 
löschen. Um auch solche Verkehrsdaten „einfrieren“ zu 
können, die zu betrieblichen Zwecken nur kurz oder gar 
nicht gespeichert werden, sieht das Gesetz für einzelne 
Datenkategorien, wie beispielsweise dynamische IP- 
Adressen, zusätzlich eine befristete Speicheranordnung 
vor. Eine anlasslose flächendeckende Speicherung von 
Verkehrsdaten ist nach diesem Ansatz nicht notwendig, 
zumal diese in der Regel ohnehin für betriebliche Zwecke 
mehrere Monate gespeichert werden und somit Strafver- 
folgungsbehörden grundsätzlich zur Verfügung stehen 
(vgl. Nr. 6.7). Ich erachte dieses Verfahren nach wie vor 
als eine valide Alternative zur allumfassenden anlasslo- 
sen VDS, die das öffentliche Interesse an der Verfolgung 
von Straftaten einerseits und den Schutz des Femmelde- 
geheimnisses und des informationeilen Selbstbestim- 
mungsrechts andererseits auf einem für beide Seiten ak- 
zeptablen Niveau zum Ausgleich bringt. 

Die Wiedereinführung einer flächendeckenden VDS er- 
scheint auch deshalb als nicht zielführend, da ihre Erfor- 
derlichkeit auch nach über vier Jahren weder auf nationa- 
ler noch auf europäischer Ebene belegt werden konnte. 
Eine im Januar 2012 veröffentlichte Studie des Max- 
Planck-lnstituts kommt sogar zu dem Ergebnis, dass der 
durch das Bundesverfassungsgericht mit seinem Urteil 
vom 2. März 2010 bewirkte Wegfall der VDS in Deutsch- 
land keinen wesentlichen Einfluss auf die Effektivität der 
Strafverfolgung gehabt habe. Vielleicht liegt das Schick- 
sal der VDS aber gar nicht in den Händen der Kommis- 
sion oder nationaler Gesetzgeber. Nach dem irischen 
High Court hat auch der österreichische Verfassungsge- 
richtshof 2012 ein Vorabentscheidungsersuchen an den 
Europäischen Gerichtshof gerichtet, in dem gebeten wird, 
die Vereinbarkeit der VDS-Richtlinie mit der europäi- 
schen Grundrechtecharta zu überprüfen. Ich halte es nicht 
für ausgeschlossen, dass das Gericht im Rahmen dieser 
Prüfung zumindest eine teilweise Unvereinbarkeit der 
Richtlinie mit den europäischen Grundrechten feststellen 
könnte. Ob eine solche Entscheidung dann tatsächlich das 
Ende der VDS besiegeln oder lediglich den Anfang einer 
neuen (unendlichen?) Geschichte darstellen wird, bleibt 
abzuwarten. 

6.2 Von Doppeltüren und IP-Adressen - 

Der Beschluss des Bundesverfassungs- 
gerichtes zur Bestandsdatenauskunft 

Das Bundesverfassungsgericht sorgte für mehr Klarheit 
über die Schutzbedürftigkeit von IP-Adressen und löste 
gesetzgeberischen Handlungsbedarf aus. 

Am 24. Januar 2012 hat das Bundesverfassungsgericht 
(BVerfG) einen Beschluss zur Verfassungsmäßigkeit der 


§§111 bis 113 Telekommunikationsgesetz (TKG) ge- 
fasst. Insbesondere die höchstrichterliche Entscheidung 
zur rechtlichen Einordnung von Auskunftsersuchen zu 
den Anschlussinhabem hinter dynamischen IP-Adressen 
sowie die Einführung des so genannten Doppeltürenmo- 
dells sollten sich als wichtige Meilensteine im Bereich 
des Datenschutzes im Telekommunikationsrecht erwei- 
sen. 

Anlass für den Beschluss (1 BvR 1299/05) war eine Ver- 
fassungsbeschwerde aus dem Jahr 2005, mit der die im 
Zusammenhang mit dem Auskunftsverfahren über Be- 
standsdaten stehenden Normen des TKG angegriffen 
wurden. Nach Auffassung der Beschwerdeführer werde 
sowohl durch das Verfahren der Datenerhebung zu Zwe- 
cken der Abwicklung von Bestandsdatenauskünften 
(§111 TKG) als auch durch die jeweiligen Verfahren der 
automatischen (§112 TKG) und manuellen Auskunft 
(§113 TKG) gegen das Femme Idegeheimnis sowie das 
Recht auf informationeile Selbstbestimmung verstoßen. 

Diese Ansicht teilte das Gericht nur teilweise. So erklärte 
es die §§ 111 und 112 TKG für verfassungsgemäß und 
beanstandete lediglich die Vorschrift des § 113 TKG (vgl. 
auch die Leitsätze des Gerichtes im Kasten zu Nr. 6.2). So 
sei es nicht mehr mit dem Recht auf informationelle 
Selbstbestimmung zu vereinbaren, wenn § 113 Absatz 1 
Satz 2 TKG den Sicherheitsbehörden ermögliche, Daten, 
die als Zugangssicherungscodes (wie Passwörter, PIN 
oder PUK) den Zugang zu Endgeräten und Speicherein- 
richtungen wie z. B. Mobiltelefonen oder E-Mail- 
Accounts sichern, unabhängig davon abmfen zu können, 
ob auch die Voraussetzungen für eine Nutzung der Siche- 
rungscodes durch die Behörden gegeben sind. 

Daneben sind aus datenschutzrechtlicher Sicht noch zwei 
weitere vom Gericht behandelte Themenbereiche von 
essentieller Bedeutung. Zum einen hat das Gericht klar- 
gestellt, dass sich bei einem Auskunftsersuchen zu Tele- 
kommunikationsdaten immer eine Ermächtigung zur Da- 
tenübermittlung für den Anbieter und eine hiermit 
korrespondierende Anspmchsgmndlage für die Datenab- 
frage der Behörden gegenüberstehen müssen. Wie das 
Gericht zur Verbildlichung dieses als „Doppeltürenmo- 
dell“ bezeichneten Grundsatzes ausgeführt hat, müsse zur 
Übergabe eines Datensatzes von einem Telekommunika- 
tionsdiensteanbieter an einen Bedarfsträger für jeden der 
Beteiligten eine Rechtsgrundlage in Form einer zu durch- 
schreitenden Türe existieren, um die Datenübergabe vor- 
nehmen zu können. Konkret stellte das Gericht klar, dass 
die §§ 112 und 113 TKG lediglich die Ermächtigungs- 
normen zur Datenübermittlung für den Telekommunika- 
tionsdiensteanbiefer darsfellen und nicht zugleich die 
Anspruchsgrundlage für die Abfrage seitens der Bedarfs- 
träger sind. Hierfür müssfen grundsätzlich eigene Rechts- 
grundlagen in den jeweiligen Fachgesetzen der Bedarfs- 
träger geschaffen werden. Während beim Verfahren des 
§112 TKG nach Ansicht des Gerichtes Vorschriften ge- 
nügen, die allgemein zur Erhebung personenbezogener 
Daten ermächtigen, werden beim manuellen Auskunfts- 
ersuchen entsprechende spezielle Rechtsgrundlagen be- 
nötigt, die eine eindeutige Abrufermächtigung der Be- 
darfsträger für Daten nach § 113 TKG enthalten. 
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Zum anderen hat das BVerfG erstmals eine explizite Aus- 
sage zur Natur der Auskunft über Bestandsdaten des An- 
schlussinhabers getroffen, der sich hinter einer dynami- 
schen IP-Adresse verbirgt. Damit hat es einen seit Jahren 
anhaltenden Streit (vgl. 22. TB Nr. 7.11) beendet. Wie das 
Gericht jetzt klarstellte, kann § 113 TKG in seiner gegen- 
wärtigen Form keine Grundlage für ein entsprechendes 
Auskunftsrecht sein. Hierfür bedürfe es einer expliziten 
und normenklaren gesetzlichen Befugnis, die derzeit 
nicht existiere. Positiv sehe ich vor allem die Feststel- 
lung, dass die Telekommunikationsuntemehmen für die 
Zuordnung von dynamischen IP-Adressen in einem Zwi- 
schenschritt Verkehrsdaten ihrer Kunden sichten und so- 
mit auf konkrete Kommunikationsvorgänge zugreifen 
müssten, die dem Schutz des Femmeldegeheimnisses 
nach Artikel 10 Absatz 1 GG unterliegen. Soweit aber ein 
Zugriff auf dem Telekommunikationsgeheimnis unterlie- 
gende Daten als Vorfrage für eine Auskunft zwingend 
notwendig sei, erstrecke sich der Schutzbereich von Arti- 
kel 10 Absatz 1 GG entsprechend auf das gesamte Aus- 
kunftsverfahren. 

Für die aufgrund des Urteils notwendigen Änderungen 
hat das Gericht dem Gesetzgeber eine Übergangsfrist bis 
zum 30. Juni 2013 eingeräumt. Ein entsprechendes Ge- 
setzgebungsverfahren wurde bereits eingeleitet (vgl. 
Nr. 6.3). ln jedem Fall hat das BVerfG mit der Entschei- 
dung ein weiteres Mal den Datenschutz in der Telekom- 
munikation gestärkt. 


Kasten zu Nr. 6.2 


Leitsätze des BVerfG-Beschlusses zur Bestands- 
datenauskunft 

1. ln der Zuordnung von Telekommunikationsnum- 
mem zu ihren Anschlussinhabem liegt ein Eingriff in 
das Recht auf informationeile Selbstbestimmung. 
Demgegenüber liegt in der Zuordnung von dynami- 
schen IP-Adressen ein Eingriff in Artikel 10 Ab- 
satz 1 GG. 

2. Der Gesetzgeber muss bei der Einrichtung eines 
Auskunftsverfahrens sowohl Rechtsgrundlagen für 
die Übermittlung als auch für den Abruf von Daten 
schaffen. 

3. Das automatisierte Auskunftsverfahren der §§ 112, 
111 TKG ist mit der Verfassung vereinbar. § 112 
TKG setzt dabei für den Abruf eigene Ermächti- 
gungsgrundlagen voraus. 

4. Das manuelle Auskunftsverfahren der § 113 Ab- 
satz 1 Satz 1, § 111, § 95 Absatz 1 TKG ist in verfas- 
sungskonformer Auslegung mit dem Grundgesetz 
vereinbar. Zum einen bedarf es für den Abruf der 
Daten qualifizierter Rechtsgrundlagen, die selbst 
eine Auskunftspflicht der Telekommunikationsunter- 
nehmen normenklar begründen. Zum anderen darf 
die Vorschrift nicht zur Zuordnung dynamischer IP- 
Adressen angewendet werden. 


5. Die Sicherheitsbehörden dürfen Auskünfte über Zu- 
gangssicherungscodes (§113 Absatz 1 Satz 2 TKG) 
nur dann verlangen, wenn die gesetzlichen Voraus- 
setzungen für ihre Nutzung gegeben sind. 


6.3 Neue Regeln für Auskunft über 

Telekommunikationsbestandsdaten 

Nach einer Verfassungsgerichtsentscheidung muss der 
Gesetzgeber das Verfahren der Bestandsdatenauskunft 
bis zum 30. Juni 2013 ändern. Hierfür müssen neben dem 
Telekommunikationsgesetz (TKG) noch einige weitere 
Gesetze geändert werden. 

ln Folge der Entscheidung des BVerfG vom 24. Januar 
2012 (vgl. Nr. 6.2) muss das Auskunftsverfahren über Te- 
lekommunikationsbestandsdaten teilweise neu geregelt 
werden. Neben Anpassungen im TKG werden Änderun- 
gen in der Strafprozessordnung sowie in den jeweiligen 
Gesetzen der Nachrichtendienste, des Bundeskriminal- 
amtes, der Bundespolizei und des Zollfahndungsdienstes 
erforderlich (vgl. Kasten zu Nr. 6.3). 

Da die Übergangsfrist des BVerfG, während der die ak- 
tuellen Vorschriften weiterhin wie bisher angewendet 
werden dürfen, bereits am 30. Juni 2013 ausläuft, war 
Eile geboten. Das BMI hat im Sommer 2012 die Umset- 
zung der Forderungen des BVerfG eingeleitet. Bei Redak- 
tionsschluss war das Gesetzgebungsverfahren noch nicht 
abgeschlossen. 

Im Wesentlichen beschränkt sich der vorliegende Entwurf 
darauf, die Vorgaben des Gerichts umzusetzen. 

Ich habe das Gesetzgebungsverfahren von Anfang an be- 
gleitet und konnte einige Änderungsvorschläge durchset- 
zen. Auch wenn die geplanten Änderungen durchaus im 
Sinne des Datenschutzes sind, hätte ich mir gewünscht, 
dass aus diesem Anlass noch einmal die grundsätzliche 
Notwendigkeit und der sehr weit gefasste Umfang der 
Bestandsdatenauskunft hinterfragt wird. Ich werde daher 
den Fortgang des Verfahrens weiterhin kritisch begleiten 
und mich insbesondere dafür einsetzen, die Auskunft über 
IP-Adressen zur Verfolgung von Ordnungswidrigkeiten auf 
Fälle von besonderem Gewicht zu beschränken. Ebenso 
trete ich dafür ein, die Benachrichtigungspflichten der Be- 
hörden gegenüber den Betroffenen zu verbessern. 

Kasten zu Nr. 6.3 


Beim TKG liegt der Schwerpunkt auf der Neugestaltung 
des § 113, der nunmehr verständlicher werden soll, ln 
Absatz 1 der Entwurfsfassung werden die Daten be- 
nannt, über die Telekommunikationsanbieter beim Vor- 
liegen entsprechender Anfragen Auskunft erteilen müs- 
sen. Neben den auch in der aktuell gültigen Norm 
erwähnten Daten - also Bestandsdaten nach §§ 95 
und 111 TKG sowie Daten, die den Zugriff auf Endge- 
räte oder andere Speichereinrichtungen schützen - ist 
nun erstmals auch explizit die Auskunft über den An- 
schlussinhaber einer zu einem bestimmten Zeitpunkt zu- 
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gewiesenen IP-Adresse geregelt. Demzufolge ist eine 
für diese Auskunft notwendige automatisierte Auswer- 
tung von Verkehrsdaten zulässig. Nach Absatz 2 der 
Entwurfsfassung ist eine Auskunftserteilung seitens der 
Telekommunikationsanbieter nur dann zulässig, wenn 
der Bedarfsträger bei seiner Anfrage auf eine gesetzli- 
che Anspruchsgrundlage verweist, die eine Erhebung 
der entsprechenden Daten explizit gestattet. Hierdurch 
werden die Anforderungen des Gerichtes an das sog. 
Doppeltürenmodell umgesetzt, nach dem sich für eine 
Auskunftserteilung zwingend eine gesetzliche Abfra- 
geermächtigung der Bedarfsträger und eine Übermitt- 
lungsbefugnis der Telekommunikationsanbieter korres- 
pondierend gegenüber stehen müssen (vgl. Nr. 6.2). In 
den Absätzen 3 und 4 werden nunmehr die Kategorien 
von Bedarfsträgern genannt, die grundsätzlich ermäch- 
tigt sind, Auskünfte zu verlangen; außerdem müssen Te- 
lekommunikationsuntemehmen über die Umstände der 
Auskunftserteilung schweigen. Die einzige beabsich- 
tigte Neuerung, die nicht auf eine Vorgabe des Gerichts 
zurückgeht, findet sich in Absatz 5. Hier werden Unter- 
nehmen mit mehr als 100 000 Kunden verpflichtet, für 
die Abwicklung des Auskunftsverfahrens eine elektro- 
nische Schnittstelle zur Verfügung zu stellen. Hierdurch 
will man die Datenübermittlung sicherer gestalten und 
eine eindeutige Identifizierung der Bedarfsträger ge- 
währleisten. Damit das Verfahren nicht zu einem ver- 
kappten automatisierten Auskunftsverfahren ausufert, 
wie bei § 112 TKG, sind die Telekommunikationsanbie- 
ter verpflichtet, jede Anfrage manuell zu prüfen, die sie 
über die elektronische Schnittstelle erhalten. 

Für den Bereich der Strafverfolgung fügt der Gesetzent- 
wurf einen neuen § lOOj in die Strafprozessordnung 
(StPO) ein. Danach sollen die entsprechenden Daten 
(§113 TKG) angefordert werden können, soweit dies 
für die Erforschung des Sachverhalts oder die Ermitt- 
lung des Aufenthaltsortes eines Beschuldigten erforder- 
lich ist. Für den Zugriff auf Endgeräte oder auf Speiche- 
reinrichtungen sollen die Daten nur verlangt werden 
dürfen, wenn die gesetzlichen Voraussetzungen für die 
Nutzung der Daten vorliegen. Korrespondierend zur 
entsprechenden Regelung im TKG soll auch die Aus- 
kunft zu einer zu bestimmten Zeitpunkten zugewiesenen 
IP-Adresse geregelt werden (§ lOOj Absatz 2 StPO-E). 

Auch die Regelungen für die Abfragen durch die Be- 
darfsträger müssen in den Fachgesetzen entsprechend 
angepasst werden. So sieht der Gesetzentwurf vor, so- 
wohl die Polizeigesetze auf Bundesebene (Bundeskri- 
minalamtgesetz und Bundespolizeigesetz) als auch die 
Gesetze für die Nachrichtendienste (Bundesverfas- 
sungsschutzgesetz, Gesetz über den Militärischen Ab- 
schirmdienst und Gesetz über den Bundesnachrichten- 
dienst) und das Zollfahndungsdienstgesetz zu ändern. 
Fast gleichlautende Regelungen sollen für die enfspre- 
chenden Zuständigkeitsbereiche die Abfrage der Be- 
standsdaten ermöglichen. Auch hier soll die Auskunft 
über Daten, die den Zugriff auf Endgeräte oder Speicher- 
einrichtungen ermöglichen, nur erlaubt sein, wenn die 
gesetzlichen Voraussetzungen für die Nutzung der Da- 
ten erfüllt sind. 


6.4 Telekommunikationsgesetz: Nicht alles, 
was länger dauert, muss auch besser 
sein! 

Die Novellierung des Telekommunikationsgesetzes wurde 
erforderlich, weil zwei europäische Richtlinien umzuset- 
zen waren. Dabei wurden zwar datenschutzrechtliche 
Verbesserungen vorgenommen, aber auch Änderungen, 
die eher problematisch sind. 

Am 10. Mai 2012 ist das Gesetz zur Änderung telekom- 
munikationsrechtlicher Regelungen in Kraft getreten 
(BGBl. I 2012 S. 958 ff). Diese Novellierung des Tele- 
kommunikationsgesetzes (TKG) setzt europarechtliche 
Vorgaben um, die bereits am 19. Dezember 2009 in Kraft 
getreten waren und eigentlich bis zum 25. Mai 2011 hät- 
ten in nationales Recht transformiert sein sollen. Auf 
zwei zentrale Änderungen, die Einführung spezieller 
Meldepflichten für die Telekommunikationsuntemehmen 
und Konkretisierungen bei der Vorschrift zur Regelung 
der Standortdaten, wird an anderer Stelle detailliert einge- 
gangen (vgl. Nr. 3.5.3 und 6.5). 

Ärgerlich ist, dass die im Gesetzentwurf der Bundesregie- 
rung vorgesehene Einführung einer einheitlichen Spei- 
cherfrist für die zum Zweck der Abrechnung zwischen 
den Diensfeanbiefem gespeicherten Verkehrsdaten in 
letzter Minute des Gesetzgebungsverfahrens gestrichen 
wurde, und zwar ohne (offizielle) Begründung. Auf 
meine Initiative hin sollte eine Speicherung dieser Daten 
nur für maximal drei Monate nach Versand der Rechnung 
an den anderen Diensteanbieter erlaubt sein. Leider bleibt 
es jetzt bei der bisherigen Regelung, und die Daten dürfen 
bis maximal sechs Monate nach Rechnungsversand ge- 
speichert werden, sofern die Diensteanbieter die Erfor- 
derlichkeit belegen (vgl. auch Nr. 6.7). 

Darüber hinaus führen einige Änderungen eher zu Unklar- 
heiten. Eine dieser Änderung betrifft den Anwendungsbe- 
reich der datenschutzrechtlichen Vorschriften des TKG, 
nämlich die §§ 91 ff TKG. Geschützt werden hiernach die 
personenbezogenen Daten von Teilnehmern und Nutzem, 
die im Zusammenhang mit der geschäftsmäßigen Erbrin- 
gung eines Telekommunikationsdienstes von dessen An- 
bieter verarbeitet werden. Anbieter von geschäftsmäßigen 
Telekommunikationsdiensten ist wiederam jeder, der ganz 
oder teilweise geschäftsmäßig Telekommunikationsdienste 
erbringt oder an der Erbringung solcher Dienste mitwirkt. 
Im Rahmen der Gesetzesnovellierang wurden die Legalde- 
finitionen der Begriffe Teilnehmer und Nutzer in § 3 Num- 
mer 14 und Nummer 20 TKG insoweit geändert, dass 
lediglich auf die Inanspruchnahme von öffentlich zugängli- 
chen Telekommunikationsdiensten eingegangen wird. 
Nach einhelliger Meinung stellt dies wohl ein gesetzgebe- 
risches Versehen dar, dass der redaktionellen Anpassung an 
die europäischen Richtlinien geschuldet ist. Der nach der 
Gesetzessystematik eingeschränkte Anwendungsbereich 
ist im Wege einer Analogie dahingehend auszulegen, dass 
er grundsätzlich auch geschlossenen Benutzergruppen er- 
öffnet und nicht auf Anbieter öffentlich zugänglicher Tele- 
kommunikationsdienste beschränkt bleibt. Dies ist deshalb 
von Bedeutung, weil man auch dann Diensteanbieter im 
Sinne des TKG ist, wenn das Angebot von Telekommuni- 
kationsdienstleistungen nur für geschlossene Benufzer- 
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gruppen erfolgt. So sind beispielsweise Betreiber von Ho- 
tels oder Cafes, die ihren Gästen einen Intemetzugang 
anbieten, ebenso Diensteanbieter wie Arbeitgeber, die ih- 
ren Arbeitnehmern die private Nutzung der betriebliehen 
Telekommunikationsinfrastruktur erlauben. 

Gestriehen wurde die Regelung des § 92 TKG, naeh der 
Diensteanbieter personenbezogene Daten an ausländisehe 
Stellen naeh Maßgabe des BDSG nur übermitteln durften, 
soweit dies für die Erbringung von Telekommunikations- 
diensten, für die Erstellung und Versendung von Reehnun- 
gen oder für die Missbrauehsbekämpftmg erforderlieh war. 
Diese Vorsehrift enthielt also eine bereiehsspezifisehe 
Zweekbindung, die zusätzlieh zu den Regelungen des 
BDSG zu beachten war. Künftig bemisst sich die Zulässig- 
keit einer entsprechenden Datenübermittlung nach den 
§§ 4b und 4c BDSG. Wie sich das konkret auswirken wird, 
ist noch nicht sicher zu beurteilen. Der Datenverkehr in und 
zwischen den Mitgliedstaaten der Europäischen Union ist 
nun genauso zu behandeln wie der inländische. Für eine 
Datenübermittlung in ein Land außerhalb der Europäischen 
Union, ein sog. Drittland, sind nunmehr die Vorgaben des 
BDSG maßgeblich. Ich gehe davon aus, dass auch in diesen 
Fällen das neue Verfahren keine datenschutzrechtlichen 
Standards absenkt, zumal ich nach § 4c Absatz 2 BDSG für 
Genehmigungen zusfändig bin, falls personenbezogene Da- 
ten in einen Drittstaat übermittelt werden sollen. 

6.5 Ortung per Handy 

Die jüngste TKG-Anderung hat für Ortungsdienste Rege- 
lungen geschaffen, die einen Missbrauch signifikant er- 
schweren - zumindest theoretisch. 

Die Situation bei den Ortungsdiensten hatte ich in mei- 
nem 23. TB (Nr. 6.2) ausführlich dargesfellt. Kritisch sah 
ich insbesondere die Möglichkeiten zur heimlichen 
Handy-Ortung. Mit der im Mai 2012 in Kraft getretenen 
Änderung von § 98 TKG wurden die rechtlichen Anfor- 
derungen an Ortungsdienste verschärft. Sie müssen bei 
jeder Feststellung des Standortes eine Informations-SMS 
an das Handy senden. Nur wenn der Standort ausschließ- 
lich auf dem Handy angezeigt wird, darf auf den SMS- 
Hinweis verzichtet werden. 

Einige Monate nach dem Inkrafttreten der Neuregelung re- 
cherchierte ich im Internet stichprobenartig deren Umset- 
zung. Dabei fielen mir zwei Firmen auf, die offensichtlich 
noch Ortungen ohne Übersendung von SMS durchführten. 
Hierbei handelt es sich um einen bußgeldbewehrten Tatbe- 
stand, weshalb ich die Bundesnetzagentur als zuständige 
Bußgeldbehörde um weitere Prüfung bat. 

Die Unternehmen beriefen sich darauf, dass es sich um 
„Eigenortungen“ handele, bei denen keine SMS zu versen- 
den sei. Mich und die BNetzA überzeugte diese Einlassung 
nicht, denn der Standort wird ja nicht auf dem georteten 
Handy, sondern an anderer Stelle angezeigt - insofern gibt 
es keinen Rechtfertigungsgrund für den Verzicht auf die 
Info-SMS. Die BNetzA erließ einen Bußgeldbescheid, ge- 
gen den Widerspruch eingelegt wurde. Den weiteren Fort- 
gang des Verfahrens werde ich mit Interesse verfolgen. 

Bedeutsam ist eine weitere Änderung der datenschutz- 
rechtlichen Vorgaben für die Ermittlung und Verwendung 


von Standortdaten. Bisher erfasste das TKG nur Standort- 
daten, die in einem Telekommunikationsnetz erhoben 
oder verwendet werden, ln der TKG-Novelle wurden 
auch die Standortdaten aufgenommen, die von einem Te- 
lekommunikationsdienst erhoben oder verwendet werden 
(s. § 3 Nummer 19 TKG). Es sind nicht nur die Funkzel- 
len umfasst, in denen ein Handy eingebucht ist, sondern 
ggf auch die per Satelliten- oder WLAN-Ortung erfass- 
ten Standortdaten. Bisher sind die praktischen Konse- 
quenzen dieser Änderung noch nicht abschließend abzu- 
schätzen. Schon jetzt erkennbar sind jedoch zwei 
Problemkreise: Zum Einen ist vielfach eine klare Unter- 
scheidung zwischen Telekommunikationsdienst und Tele- 
mediendienst schwierig, so dass unklar bleibt, ob jeweils 
das TKG oder das Bundesdatenschutz- bzw. Telemedien- 
gesetz anwendbar ist. Zum Anderen kann die Ortung 
durch einen Dienst erfolgen, der über das (mobile) Inter- 
net aus dem Ausland erbracht wird, so dass deutsche Vor- 
schriften nur eingeschränkt gelten und durchsetzbar sind. 

Unabhängig von diesen gesetzlichen Vorgaben trete ich 
dafür ein, die ausufemde Verwendung von Standortdaten, 
insbesondere mittels Smartphone-Apps, wirksam zu be- 
grenzen und für die Betroffenen transparent zu gestalten. 
Die Verantwortung hierfür liegf bei den App-Anbietem, 
den Unternehmen, die Download-Plattformen bereitstel- 
len und bei den Herstellern der Smartphone-Betriebssys- 
teme. Von der in der Diskussion befindlichen Daten- 
schutz-Grundverordnung (vgl. Nr. 2.1.1) erwarte ich hier 
deutliche Verbesserungen, insbesondere weil auch Anbie- 
ter aus Drittstaaten an die Vorgaben des europäischen Da- 
tenschutzrechts gebunden werden. 

6.6 Notrufortung: Weihnachten kommt 
immer so überraschend ... 

Die Notrufortung sollte an Weihnachten 2012 umgesetzt 
worden sein - zumindest nach den Vorstellungen des Ge- 
setzgebers. Technische Umsetzungsprobleme führen zu 
Verzögerungen. 

Bereits seit 2004 sieht das Telekommunikationsgesetz 
(TKG) eine Übermittlung des Standortes eines Notrufen- 
den zur Rettungsleitstelle vor. Nur so können Notrufe von 
Handys bearbeitet werden, wenn der Anrufer nicht in der 
Lage ist, seinen genauen Standort zu nennen. Bei Fest- 
netzkunden kann der Standort vom Netzbetreiber alterna- 
tiv auch anhand der Bestandsdaten ermittelt werden. Zur 
Umsetzung dieser Regelung des TKG waren die Not- 
rufverordnung und die Technische Richtlinie Notruf 
(TR Notruf) erforderlich, die beide auf sich warten lie- 
ßen. Die Bjöm-Steiger-Stiftung hatte daraufhin im 
Jahr 2006 die Initiative ergriffen und ein alternatives Sys- 
tem zur Notrufortung aufgebaut. Dieses wurde inzwi- 
schen von der Allianz OnlineService GmbH (AOS) über- 
nommen (vgl. 23. TB Nr. 6.2). Dieses System ermöglicht 
zwar eine Ortung von Notrufenden, entspricht aber nicht 
den Vorgaben des Gesetzgebers, und auch ein Missbrauch 
ist zumindest theoretisch nicht ausgeschlossen. 

Nachdem die Notrufverordnung mit einiger Verzögerung 
2009 erlassen und die TR Notruf schließlich am 22. Juni 
2011 im Amtsblatt Nr. 12 der Bundesnetzagentur (Verfü- 
gung Nr. 42/2011) veröffentlicht wurde, war diese auf- 
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grund einer 18-monatigen Übergangsfrist bis zum 23. De- 
zember 2012 umzusetzen. Somit war ein den Vorgaben 
des Gesetzes entsprechender Betrieb der Notrufortung an 
Weihnachten 2012 zu erwarten. 

Weil die Mobilfunknetzbetreiber bei der Implementierung 
technische Probleme feststellten, mussten einige Vorschrif- 
ten der Notrufverordnung geändert werden (vgl. auch Bun- 
de sratsdrucksache 595/12). Obwohl sich alle Seiten um 
eine möglichst schnelle Umsetzung bemühten, konnte der 
Termin nicht gehalten werden. Da die Änderungen der 
Technischen Richtlinie erst spät an die Hersteller der Not- 
rufabfragestellen weitergegeben wurden, muss mit einer 
Verzögerung von einigen Monaten gerechnet werden, bis 
die übermittelten Standortdaten in den Rettungsleitstellen 
ausgewertet werden können. Aus diesem Grunde habe ich 
einen zeitlich begrenzten Weiterbetrieb des Notrufortungs- 
systems von AOS bis Ende März 2013 akzeptiert. Ich gehe 
davon aus, dass spätestens an Ostern die Notrufortung ge- 
setzeskonform betrieben wird. 

Einige Punkte in der TR Notruf sind noch offen. So wird 
gefordert, Standortinformationen auch bei Verbindungen 
zwischen Netzbetreibem zu übermitteln. Natürlich ist es 
sinnvoll, etwa bei der Intemettelefonie (VölP), den Stand- 
ort des Anrufers zu ermitteln. Durch die mögliche „noma- 
dische“ Nutzung muss der Standort aber nicht mit dem 
Wohnort des Nutzers übereinstimmen. Somit muss an- 
hand der IP-Adresse der Intemetanbieter ermittelt und um 
Auskunft zum Standort befragt werden. Wie dies für be- 
liebige Intemetanbieter mit wirtschaftlich vertretbarem 
Aufwand und gleichzeitig ausreichender Sichemng gegen 
Missbrauch durchgeführt werden kann, lässt die TR Not- 
mf offen. Mir sind noch keine Lösungen bekannt. 

ln der TR Notruf wird auch ein optionales Verfahren gere- 
gelt, wie eine zusätzliche Übermittlung von Standortdaten 
durch ein Handy bei einem Notruf erfolgen kann. Diese 
Standortangaben, etwa von einer Satellitenortung, können 
deutlich genauer sein als die durch ein Mobilfunknetz er- 
mittelten Standorte. Die zusätzliche Übermittlung wäre 
durchaus sinnvoll, da so bei einem Rettungseinsatz wert- 
volle Zeit gespart werden kann. Ein Anmfer sollte jedoch 
hierüber informiert sein und zumindest die Möglichkeit ha- 
ben, diese Übermittlung im Einzelfall auszuschließen. 

Weiterhin halte ich die Forderung, dass Notrufanschlüsse 
mit dem Leistungsmerkmal „Malicious Call Identification“ 
auszustatten sind, für problematisch. Dieses für sog. Fang- 
schaltungen verwendete Leistungsmerkmal dürfte auf- 
gmnd der generellen Rufhummemanzeige bei Notmf- 
anschlüssen zur Ermittlung von Spaßanrufem nur einen 
begrenzten Mehrwert bieten. Regelungen, wie lange hier 
Verkehrsdaten gespeichert werden sollen, sucht man in der 
Richtlinie vergebens. Somit ist zu erwarten, dass ich mich 
weiterhin mit der Notruflhematik zu beschäftigen habe. 

6.7 Leitfaden zur Speicherung von 
Verkehrsdaten 

Vom „ Leitfaden zum Datenzugriff“ zum ,, Leitfaden zur Spei- 
cherung von Verkehrsdaten Er soll zu einer datenschutzge- 
rechten und einheitlichen Auslegung des TKG führen. 

Die Veröffentlichung des „Leitfadens zum Datenzugriff, 
insbesondere für den Bereich der Telekommunikation“ 


der Generalstaatsanwaltschaft München, hat großes öf- 
fentliches Interesse an der tatsächlichen Speicherdauer 
von Verkehrsdaten geweckt. Telekommunikationsanbie- 
ter standen in der Kritik, die zu einem Teil berechtigt war. 
Diese Thematik wurde deswegen beim „Jour Fixe Tele- 
kommunikation“ im Herbst 2011 diskutiert, einem regel- 
mäßigen Treffen des BfDl mit Datenschutzbeauftragten 
der Netzbetreiber. Als Ergebnis habe ich gemeinsam mit 
der Bundesnetzagentur (BNetzA) einen Leitfaden zur 
Speicherung von Verkehrsdaten erarbeitet. Die Netzbe- 
treiber wurden um Kommentierung eines im Frühjahr 
2012 vorgelegten ersten Entwurfs gebeten. Der endgül- 
tige Leitfaden konnte im Herbst 2012 veröffentlicht wer- 
den. Er soll zu einer datenschutzgerechten und einheitli- 
chen Auslegung des TKG - auch im Sinne von „Best 
Practices“ - führen und sfellt für die Beurteilung des Be- 
griffs der Erforderlichkeit einen Prüfungsmaßstab dar. 

Den Leitfaden habe ich in meinem Intemetangebot unter 
Informationsmaterial | Arbeitshilfen veröffentlicht, von 
der BNetzA erfolgte eine Veröffentlichung in deren 
Amtsblatt. 

De facto sieben Tage 

Ein Punkt, der sich fast schon als roter Faden durch den 
Leitfaden zieht, ist eine de-facto-Sieben-Tage-Regelung 
für die Speicherung nicht abrechnungsrelevanter Ver- 
kehrsdaten. Diese hat sich im Laufe der Jahre als prakti- 
kabler Weg herausgestellt, um einerseits den datenschutz- 
rechtlichen Überlegungen zu genügen, andererseits aber 
den betrieblichen Anforderungen der Netzbetreiber zu 
entsprechen. 

Damit können zumindest zeitnah gemeldete Störungen 
überprüft oder Vergleiche über mehrere Tage gemacht 
werden, ln einer BGH-Entscheidung (vom 13. Januar 
2011, 111 ZR 146/10) wurde diese Sieben-Tage-Frist für 
den Fall der Speicherung von dynamischen IP-Adressen 
gestüfzf. Soweit die Daten allerdings bereits vor Ablauf der 
sieben Tage nicht mehr zur Störungserkennung und -besei- 
tigung gebraucht werden, müssen sie vom Unternehmen 
gelöscht werden. Insofern handelt es sich um eine 
Höchstfrist, von der jeweils im Lichte der konkreten Um- 
stände nach unten abgewichen werden kann. 

Ähnlich liegt die Problematik bei der Missbrauchserken- 
nung. Hier dürfen, als Ausnahme von der Zweckbindung, 
Daten verwendet werden, die für andere Zwecke gespei- 
chert sind. Für bestimmte Szenarien kann es auch ange- 
messen sein, weitere Verkehrsdaten für begrenzte Zeit zu 
speichern. Die entsprechende Formulierung im TKG hat 
jedoch zu vielen Diskussionen geführt, aus § 100 Absatz 3 
TKG kann jedenfalls keine unumstrittene Handlungs- 
anweisung gewonnen werden. Hier wäre eine Konkreti- 
sierung wünschenswert. Einen dritten Anwendungsfall 
für die Sieben-Tage-Frisf bildet die Speicherung von 
Rohdaten. Die Verpflichtung in § 97 Absatz 3 TKG, „un- 
verzüglich“ die für die Berechnung des Entgelts erforder- 
lichen Daten zu ermitteln, kann man zunächst als „sofort“ 
verstehen. Dabei ist der Tatsache Rechnung zu tragen, 
dass die Daten in der Praxis im Regelfall in mehreren 
Verarbeitungsstufen in komplexen, oft historisch gewach- 
senen Datenverarbeitungssystemen verarbeitet werden, 
die mit vielen unterschiedlichen Tarifen zurecht kommen 
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müssen. Eine fehlerhafte Bereehnung der Entgelte würde 
zu erheblichen Verlusten bei den Unternehmen führen. 
Deshalb werden die Rohdaten für eine begrenzte Zeit 
zwischengespeichert. Da bei einer sorgfältigen Kontrolle 
Probleme bei der Datenverarbeitung innerhalb weniger 
Tage auffallen sollten, halte ich auch hier eine Speicher- 
frist von maximal sieben Tagen für angemessen. Eine län- 
gere Speicherdauer kann ich nicht mehr als „unverzügli- 
che Ermittlung“ ansehen. 

Wie lange abrechnen? 

Auch die Speicherdauer von abrechnungsrelevanten Da- 
ten wurde geprüft, ln § 97 Absatz 3 TKG wird die 
Höchstfrist mit sechs Monaten nach Rechnungsversand 
angegeben. Diese ist aber oft nicht erforderlich, insbeson- 
dere wenn ein Anbieter die Reklamationsfrist für den 
Kunden in den AGB entsprechend § 45i Absatz 1 TKG 
auf acht Wochen nach Rechnungserhalt begrenzt. Inso- 
fern halte ich drei Monate (acht Wochen zuzüglich Brief- 
laufzeit und Bearbeitungszeit) im Regelfall für ausrei- 
chend - begründete Ausnahmen sind möglich, wobei auch 
Abweichungen nach unten erfolgen können und müssen, 
sofern die Daten nicht mehr für Abrechnungszwecke be- 
nötigf werden. Auch bei der Abrechnung zwischen Netz- 
betreibem hälfe ich die bei vielen Anbiefem übliche 
sechsmonatige - und teilweise noch längere - Speiche- 
rung nicht für angemessen. Nach meinem Eindruck spre- 
chen meisf keine überzeugenden sachlichen Gründe für 
diese Speicherpraxis. Lediglich in besonders zu begrün- 
denden Sonderfällen, efwa bei bestimmten Mehrwert- 
diensten, könnte eine sechs Monate umfassende Speiche- 
rung erforderlich sein. 

Was braucht man zum Abrechnen? 

Ein weiterer Punkt betrifft den Inhalt der Datensätze. Ge- 
rade im Mobilfunkbereich sind viele Informationen in ei- 
nem Abrechnungsdatensatz enthalten, wie zum Beispiel 
die verwendete Funkzelle oder die Seriennummer eines 
Handys. Die Speicherung der Funkzelle ermöglicht die 
Erstellung eines Bewegungsbilds des Nutzers, ist aber nur 
bei einem sehr kleinen Teil der Kunden für die Abrech- 
nung erforderlich. Die Nefzbefreiber verweisen auf die 
Kosfen, die es verursachen würde, die oben erwähnten 
komplexen Systeme zu ändern. Hier gilt aber das Primat 
des Rechts: Daten, die für die zulässigen Zwecke nicht 
oder nicht mehr erforderlich sind, müssen gelöscht wer- 
den. 

6.8 Erfahrungen bei Kontrollen im 
Telekommunikationsbereich 

Die Durchführung von Kontroll- und Beratungsbesuchen 
ist eine meiner Kemaufgaben. Ohne entsprechende Prü- 
fungen liefen datenschutzrechtliche Vorgaben Gefahr, in 
der Praxis nicht mit der gebotenen Sorgfalt umgesetzt zu 
werden. 

Im Berichtszeitraum habe ich die Anzahl der Kontrollen 
bei Telekommunikationsanbietem und Behörden deutlich 
erhöht. Der Schwerpunkt lag bei Mobilfunknetzbetrei- 
bem, bei denen sowohl die Verarbeitung von Bestands- 
ais auch von Verkehrsdaten geprüft wurde. 


6.8.1 Allgemeines: Jeder Beratungs- und 
Kontrollbesuch ist anders 

Beratungs- und KontroUbesuche geben immer wieder in- 
teressante Einblicke in die Unternehmen und Behörden, 
insbesondere weil es trotz gleicher Thematik viele Beson- 
derheiten und unterschiedliche Probleme gibt. 

Die Mitarbeiter sämtlicher geprüfter Unternehmen und 
Behörden sind in der Mehrheit sehr kooperativ und be- 
müht, mir ausreichende Informationen über die Betriebs- 
abläufe zu geben. Wegen der in der Regel guten Vorberei- 
tung und Organisation der Termine konnten Beratungs- 
und KontroUbesuche meistens im geplanten Umfang 
durchgeführt werden. Es gibt allerdings auch Einzelfälle, 
in denen selbst bei rechtzeitig angekündigtem Besuch sei- 
tens der geprüften Stelle keine erkennbaren Vorbereitun- 
gen getroffen wurden, ln einem Fall hatte der einzige an- 
fangs anwesende betriebliche Experte (der zudem nur für 
einen einzigen Aspekt des Dienstes zuständig war) ledig- 
lich einen halben Tag Zeit. Tiefergehende Fragen konnten 
nur zu einem begrenzten Teil beantwortet werden, da nur 
für eine weitere Problematik ein Experte zur Verfügung 
stand. Konsequenz: Diesem Unternehmen werde ich 
2013 einen weiteren Besuch abstatten. Auch im Hinblick 
auf die Nachbereitung der Besuche - insbesondere das 
zeitnahe Nachliefem von Informationen und Unterlagen - 
gibt es bei einigen Unternehmen noch „Luft nach oben“. 

Nach meinen Erfahrungen führen insbesondere ausführli- 
che Kontrollen und die damit für die Unternehmen 
verbundene Notwendigkeit, sich intern mit ihren Verfah- 
rensabläufen auseinanderzusetzen, zu deutlichen Verbes- 
serungen. Die mit Prüfungen bewirkte Förderung des 
Verständnisses und Zusammenspiels von Fachabteilun- 
gen und betrieblichen Datenschutzbeauftragten ist eine 
der wichtigsten Voraussetzungen für Fortschritte beim 
Datenschutz. Gerade bei großen Telekommunikationsan- 
bietem ist die frühzeitige Einbindung des betrieblichen 
Datenschutzbeauftragten besonders wichtig, um den Ge- 
danken von „Privacy by Design“ umzusetzen, zumal 
nachträgliche Änderungen an Systemen oftmals viel Zeit 
benötigen. 

Anders gelagert ist die Problematik bei vielen kleinen Te- 
lekommunikationsuntemehmen. Einerseits können Miss- 
stände hier meist zeitnah korrigiert werden. Andererseits 
ist das Problembewusstsein oft nur sehr mangelhaft aus- 
geprägt. Als Beispiel hierzu möchte ich ein Unternehmen 
nennen, das neben seiner Haupttätigkeit zusätzlich als 
„Mini-Serviceprovider“ tätig ist und zeitweise einige 
tausend Mobilfunkverträge abgeschlossen hatte. Ich 
wurde durch eine Eingabe auf dieses Unternehmen auf- 
merksam und sah mich schließlich veranlasst, dort einen 
Prüfbesuch durchzuführen. Dabei fand ich, begründef 
durch Unkenntnis der Untemehmensvertreter über die 
Rechtslage, erhebliche datenschutzrechtliche Mängel vor. 
So lagen einem Vertrag zur Auftragsdatenverarbeitung 
ausschließlich mündliche Absprachen zugmnde, aber 
„immerhin“ wurde eine Papiertüte mit über hundert Da- 
ten-CD in einem Safe sicher aufbewahrt. Auf diesen CDs 
waren u. a. sämtliche Verkehrsdaten der Teilnehmer über 
einen Zeitraum von fast zehn Jahren gespeichert. Zwi- 
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schenzeitlich wurden verschiedene Maßnahmen durchge- 
fiihrt, und ich gehe heute von einem rechtskonformen Be- 
trieb aus. 

Auch bei Behörden habe ich Beratungs- und Kontrollbe- 
suche durchgeführt und dabei insbesondere die Verarbei- 
tung der Verkehrsdaten in den Telefonanlagen geprüft. 
Obwohl hier zunehmend neue, auf IP-Technik basierende 
TK-Anlagen eingesetzt werden, sind die Probleme beim 
Betrieb altbekannt. Gegenüber meinen Feststellungen im 
19. TB (Nr. 11.15) hat sich eigentlich nur die umzuset- 
zende Vorschrift geändert, da anstelle der Dienst- 
anschlussvorschriften inzwischen die Richtlinie Telekom- 
munikation Bund (RLTk Bund) gilt. Bei fast allen 
Kontrollen fiel auf, dass entgegen den gesetzlichen Vor- 
gaben Verkehrsdaten erhoben wurden oder diese zu lange 
gespeichert wurden. Weiterhin gibt es in diesem Bereich 
nach wie vor Verbesserungsbedarf bei der Gestaltung und 
Umsetzung der Dienstvereinbarungen zum datenschutz- 
gerechten Betrieb der TK-Anlagen. 

6.8.2 Fachliches: Neue und immer wieder 
aite Probieme 

Kontrollen bei den Unternehmen vor Ort sind unumgäng- 
lich, können doch viele datenschutzrechtliche Probleme 
oftmals nur bei einem Blick auf die Praxis entdeckt wer- 
den. 

Bei verschiedenen Anbietern bin ich auf Systeme gesto- 
ßen, bei deren Bezeichnung sich die Nackenhaare eines 
Datenschützers sträuben: das Data Warehouse (DWH). ln 
einem Fall habe ich eigens einen Besuch dazu durchge- 
führt. Hier waren praktisch sämtliche Bestands- und Ver- 
kehrsdaten aus betrieblich genutzten Systemen nochmals 
als Kopie im DWH gespeichert. Die Systeme des DWH 
sind auf einen hohen Datendurchsatz optimiert, so dass 
man verschiedene Auswertungen effektiv durchführen 
kann. Dabei ist der Programmieraufwand deutlich gerin- 
ger als bei den betrieblich genutzten Systemen. Das be- 
suchte Unternehmen argumentiert, dass es sich um recht- 
mäßig gespeicherte Daten handele und diese entweder 
anonymisiert oder in zulässiger Weise verwendet würden. 
Bei den anonymisierten Anwendungen handelt es sich 
z. B. um Berichte zur Geschäftsentwicklung oder Statisti- 
ken für die Funknetzplanung. Personalisierte Anwendun- 
gen sind z. B. Auswertungen von Verkehrsdaten bei 
Kunden, die entsprechend § 96 Absatz 3 TKG darin ein- 
gewilligt haben, Auswertungen für spezielle Rabatte oder 
Einzelverbindungsnachweise für bestimmte Kundengrup- 
pen. Für die überwiegende Anzahl der Datensätze kann 
die Doppelspeicherung jedoch nicht auf Vorschriften des 
TKG gestützt werden. Eine pauschale Doppelung von 
Kundendaten für nicht festgelegte Zwecke, wie sie typi- 
scherweise in Data- Warehouse- Systemen erfolgt, ist un- 
zulässig. Bei der Verarbeitung personenbezogener Daten 
hat sich die verantwortliche Stelle an die gesetzliche 
Zweckbindung zu halten. Die Diskussion mit diesem An- 
bieter hielt zum Redaktionsschluss noch an. Auch bei an- 
deren Anbietern bestehen zu den „Warenhäusern“ noch 
offene Fragen, so dass sich das Thema im kommenden 
Tätigkeitsbericht sicherlich wiederfinden wird. 


Eine weitere - für mich unerwartete - Verarbeitung von 
Verkehrsdaten ist mir gleich bei zwei großen Anbietern 
aufgefallen. Dort werden an verschiedenen Stellen in der 
Verarbeitungskette Daten nochmals erhoben, parallel ver- 
arbeitet und mit den eigentlichen Abrechnungssystemen 
verglichen, nur um die eigenen Abrechnungssysteme zu 
prüfen. Da der „Nachweis der Richtigkeit“ der Abrech- 
nung der Entgelte explizit in § 97 Absatz 2 TKG als zu- 
lässiger Zweck aufgeführt wird, halte ich diese Verarbei- 
tung grundsätzlich für legitim. Wenn ein Anbieter jedoch 
drei getrennte Systeme für verschiedene Prüfungen nutzt, 
natürlich jeweils mit eigener Datenspeicherung, stellt sich 
allerdings die Frage der Angemessenheit. Wenn mit sol- 
chen Systemen die Vollständigkeit der Abrechnung ge- 
prüft werden soll und unverarbeitete Rohdaten verarbeitet 
werden, die zum Teil nicht abrechnungsrelevant sind, 
müssen auch Speicherfristen eingehalten werden. Hier 
gibt es noch einige offene Fragen. 

Auch an anderer Stelle versuchen die Unternehmen, „auf 
der sicheren Seite“ zu sein. Sowohl die Rohdaten aus den 
Vermittlungsstellen als auch die Ergebnisse von Zwi- 
schenschritten bei der Abrechnung werden gerne gesi- 
chert. Für bis zu sieben Tage halte ich dies noch für ver- 
tretbar (vgl. Nr. 6.7); zehn Wochen Speicherung der 
Rohdaten in der Vermittlungsstelle oder 90 Tage bei den 
Zwischenverarbeitungen sind aber definitiv zu lange. 
Dies habe ich den Unternehmen bereits mitgeteilt. 

Eine ebenfalls legitime Verarbeitung von Verkehrsdaten 
dient dazu, Störungen zu erkennen, einzugrenzen und zu 
beseitigen. In Mobilfunknetzen gibt es Systeme, die die 
Verkehrsdaten direkt aus dem Signalisierungsverkehr ge- 
winnen. Dumm nur, dass auch Inhalte, wie Inhalte von 
SMS, im Signalisierungskanal übertragen werden. Hier 
reicht es nicht aus, dass die Anbieter versprechen, die In- 
halte nicht zu lesen - sie dürfen erst gar nicht gespeichert 
werden. Auch ein anderes System für die Fehlerbeseiti- 
gung hat mich überrascht: Hier wurden der Datenverkehr 
der Mobilfunknutzer kopiert und die daraus gewonnenen 
Verkehrsdaten - gemeint war auch die URL der angesurf- 
ten Seiten - entgegen den gesetzlichen Vorgaben für eine 
Woche personenbezogen gespeichert. Auch zur Störungs- 
beseitigung gern. § 100 Absatz 1 TKG ist explizit nur die 
Verarbeitung von Bestands- und Verkehrsdaten gestattet, 
nicht die von Inhalten. Um solche handelt es sich - aus te- 
lekommunikationsrechtlicher Sicht - aber auch bei durch 
den Intemetzugangsanbieter übertragenen URLs. Denn 
der Mobilfunkanbieter muss diese für die Erbringung sei- 
ner Leistung nicht verarbeiten, sondern kann sie unbese- 
hen weiterleiten (vgl. 23. TB Nr. 6.5). 

Bei der Kontrolle eines Systems für die Auskunft über 
Verkehrsdaten an Sicherheitsbehörden, das ich genauer 
geprüft habe, weil bei einem anderen Mobilfunkanbieter 
zu umfangreiche Auskünfte festgestellt wurden (vgl. 
Nr. 7.4.6), habe ich grundsätzlich einen positiven Ein- 
druck gewonnen. Wie ich jedoch feststellen musste, hatte 
eine Löschroutine zwei Jahre zuvor für einige Monate 
versagt. Somit waren etliche Abfragen von Behörden, 
einschließlich der übermittelten Verkehrsdaten, noch im 
System gespeichert. Auch wenn ich diesen Vorfall nicht 
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zu hoch aufhängen möchte - zumal die betroffenen Daten 
kurzfristig nach meiner „Entdeckung“ gelöscht wurden 
ist es für mich nicht nachvollziehbar, weshalb dieser Feh- 
ler den Mitarbeitern bei ihrer täglichen Arbeit nicht auf- 
gefallen war. 

Viele Anbieter speichern auch Bestandsdaten zu umfang- 
reich und zu lange. Bereits im letzten Tätigkeitsbericht 
(vgl. 23. TB Nr. 6.3) berichtete ich von einem Telekom- 
munikationsanbieter, der entgegen den Vorschriften des 
TKG grundsätzlich keine Löschroutine für Bestandsdaten 
vorgesehen hatte. Trotz großer Bemühungen und Investi- 
tionen, von denen ich mich bei weiteren Kontrollbesu- 
chen überzeugt habe, konnte das Unternehmen bis zum 
Redaktionsschluss aufgrund der komplexen Systemstruk- 
tur noch immer keine umfassende Löschung der Daten re- 
alisieren. 

Darüber hinaus haben meine Kontrollen ergeben, dass bei 
fast allen kontrollierten Telekommunikationsanbietem zu 
viele, bisweilen auch falsche oder nicht mehr aktuelle Da- 
ten gespeichert werden. Neben nicht mehr aktuellen 
Bank- und Adressdaten stellen Ausweisdaten, wie die 
Personalausweisnummer, ausstellende Behörde oder Gül- 
tigkeitsdauer, hier das Hauptproblem dar. Nach § 95 TKG 
dürfen aber nur Bestandsdaten auf Dauer gespeichert 
werden, die für die Bereitstellung der Telekommunika- 
tionsdienstleistung benötigt werden. Obwohl Personal- 
ausweisnummem eindeutig nicht zu diesen Daten zählen, 
werden sie immer häufiger bei Vertragsschluss erhoben 
und dauerhaft gespeichert. § 95 Absatz 4 TKG gestattet 
es den Anbietern zwar, sich bei Vertragsschluss den Aus- 
weis des Kunden vorlegen zu lassen und zur Identitäts- 
überprüfüng auch eine Kopie davon anzufertigen. Diese 
muss allerdings umgehend nach erfolgreicher Prüfung 
wieder vernichtet werden. Einige Anbieter verzichten so- 
gar vollständig auf die Anfertigung von Ausweiskopien. 
Ich halte die Erfassung und vorübergehende Speicherung 
dieser Ausweisdaten lediglich aus zwei Gründen für ak- 
zeptabel. Zum Einen, wenn im Zusammenhang mit Ver- 
tragsschlüssen Hardware, wie beispielsweise Mobiltele- 
fone oder Router, per Post an den Kunden versandt 
werden und hierbei das Postidentverfahren genutzt wird. 
Zum Anderen, um bei Online- Vertragsabschlüssen eine 
„Echtheitsprüfüng“ durchzuführen, bei der die Ausweis- 
nummer einem automatisierten Plausibilitätstest unterzo- 
gen wird, ln jedem Fall darf die Speicherung der Personal- 
ausweisnummer ausschließlich zweckgebunden erfolgen, 
so dass jeweils eine Löschung unmittelbar nach Wegfall 
des Zwecks erfolgen muss. 

Obwohl die rechtlichen Vorgaben, wie über die daten- 
schutzrechtlichen Wahl- und Gestaltungsmöglichkeiten 
der Kunden zu informieren ist, seit langem unverändert 
sind, musste ich immer wieder feststellen, dass Vertrags- 
und Antragsformulare bei vielen Unternehmen fehlerhaft 
sind. Häufig fehlen Hinweise auf die bei der Beantragung 
eines Einzelverbindungsnachweises abzugebende Mitbe- 
nutzererklärung. Ebenso sind die Gestaltungsmöglichkei- 
ten der Einträge in Telefonverzeichnisse oder der Auf- 
findbarkeit bei Auskunftsdiensten mangelhaft. Besonders 


negativ fiel auf, dass in vielen Antragsformularen Felder, 
in denen die Einwilligung zur Nutzung der Bestands- und 
Verkehrsdaten explizit eingeholt werden muss, bereits 
systemseitig vorbelegt waren. Gerade weil es sich hierbei 
um Verstöße gegen Vorschriften handelt, die den Unterneh- 
men zwingend bekannt sein müssten, kann der Eindruck 
entstehen, die Vertragsgestaltung solle unter Umgehung 
der Kundenwünsche im Sinne des Untemehmensinteres- 
ses beeinflusst werden. 


6.9 Zuständigkeit für Bußgeidverfahren 
immer noch ungekiärt! 

Seit Jahren setze ich mich vergeblich dafür ein, im Tele- 
kommunikationsbereich die gesetzliche Zuständigkeit für 
Bußgeldverfahren bei Verstößen gegen das Bundesdaten- 
schutzgesetz zu erhalten. 

Wie ich bereits in meinem letzten Tätigkeitsbericht aus- 
geführt hatte, kann ich Verstöße von Telekommunika- 
tionsuntemehmen gegen das BDSG nicht mit einem Buß- 
geld belegen. Da auch die Bundesnetzagentur (BNetzA) 
nur Sanktionen verhängen kann, wenn Verstöße gegen 
spezialgesetzliche Regelungen wie z. B. das Telekommu- 
nikationsgesetz (TKG) vorliegen, liegt eine bedeutende 
Regelungslücke vor (vgl. 23. TB Nr. 2.1 und 6.3). 

Im Rahmen der Novellierungen des BDSG im Jahr 2009 
wurden neue Bußgeldvorschriften eingeführt. Seither sind 
auch Verstöße gegen die §§11 oder 34 BDSG bußgeldbe- 
wehrt, die im Bereich der Telekommunikationsbranche re- 
gelmäßig relevant werden, ln meiner Aufsichtstätigkeit 
nach § 115 Absatz 4 TKG ist es daher notwendig, bei Ver- 
stößen die Bußgeldvorschriften des § 43 BDSG anzuwen- 
den. Die Übertragung dieser Aufgabe entspräche der 
Systematik des § 38 Absatz 5 BDSG, der den Daten- 
schutzaufsichtsbehörden der Länder für den nicht-öffent- 
lichen Bereich ebenfalls die Zuständigkeit für die Verhän- 
gung von Buß- und Zwangsgeldem überträgt. Dies trägt 
schließlich den zwingenden Vorgaben des europäischen 
Rechts (Artikel 8 Absatz 3 EU-Grundrechtecharta, Arti- 
kel 28 EG-Datenschutzrichtlinie 95/46/EG) Rechnung, 
wonach die Überwachung der Einhaltung datenschutz- 
rechtlicher Vorschriften und die Verhängung von Sanktio- 
nen im datenschutzrechtlichen Bereich unabhängigen Be- 
hörden zu übertragen ist. 

ln Ermangelung einer konkreten Zuständigkeitsregelung 
für diese Fälle im BDSG oder dem TKG hatte ich mich 
daher bereits im Herbst 2009 an das BMWi gewandt und 
darum gebeten, eine Klärung der Zuständigkeiten herbei- 
zuführen. Dies sollte ursprünglich im Zuge der seinerzeit 
anstehenden Novelle des TKG (vgl. Nr. 6.4) erfolgen. 
Eine zunächst im Referentenentwurf aufgenommene Re- 
gelung wurde aber aus mir nicht bekannten Gründen 
plötzlich wieder gestrichen und auch im späteren Verlauf 
des Gesetzgebungsverfahrens nicht wieder aufgenom- 
men, obwohl ich die zuständigen Ausschüsse des Deut- 
schen Bundestages auf diese Problematik aufmerksam 
gemacht habe. Es bleibt also bei dem unhaltbaren Zu- 
stand, dass Ordnungswidrigkeiten nach dem BDSG im 
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Bereich der Telekommunikationsuntemehmen praktisch 
überhaupt nicht geahndet werden. 

Mangels einer speziellen gesetzlichen Zuständigkeits- 
regelung gehe ich momentan von einer Anwendbarkeit 
des § 36 Absatz 1 Nummer 2 lit. b OWiG (vgl. Kasten zu 
Nr. 6.9) aus. Dabei ist als „fachlich zuständig“ dasjenige 
Bundesministerium anzusehen, zu dessen Geschäftsbe- 
reich die das Gesetz ausführende Bundesbehörde gehört. 
Nach meiner - von der Bundesregierung offenbar nicht 
geteilten - Auffassung liegt die primäre Zuständigkeit für 
den Telekommunikationsbereich beim BMWi. Diesem 
werde ich entsprechende Bußgeldverfahren zur weiteren 
Bearbeitung vorlegen. 

Ich empfehle nochmals dringend, mir die Zuständigkeit 
für die Verfolgung von nach dem BDSG bußgeldbewehr- 
ten Verstößen durch Telekommunikationsuntemehmen zu 
übertragen. Diese Lösung ist nicht nur aufgmnd prakti- 
scher Erwägungen sinnvoll, sondern vielmehr auch euro- 
parechtlich geboten. 

Kasten zu Nr. 6.9 


§ 36 OWiG (Auszug) 

Sachliche Zuständigkeit der Verwaltungshehörde 

(1) Sachlich zuständig ist 

1. die Verwaltungsbehörde, die durch Gesetz bestimmt 

wird, 

2. mangels einer solchen Bestimmung 

a) die fachlich zuständige oberste Landesbehörde 
oder 

b) das fachlich zuständige Bundesministerium, so- 
weit das Gesetz von Bundesbehörden ausgeführt 
wird. 


(3) Das nach Absatz 1 Nr. 2 Buchstabe b zuständige 
Bundesministerium kann seine Zuständigkeit durch 
Rechtsverordnung, die nicht der Zustimmung des Bun- 
desrates bedarf, auf eine andere Behörde oder sonstige 
Stelle übertragen. 


6.10 Gesprächsaufzeichnungen in 
Caiicentern 

Eine Gesprächsaufzeichnung ohne vorherige Einwilli- 
gung des Kunden ist nicht zulässig. Die Möglichkeit, ei- 
ner Aufzeichnung zu widersprechen, erfüllt nicht die da- 
tenschutzrechtlichen Anforderungen. Ein Thema auch für 
den Beschäftigtendatenschutz. 

Es ist gängige Praxis in der Telekommunikationsbranche, 
sich zur Bearbeitung von Kundenanliegen so genannter 
Callcenter zu bedienen. Von großer datenschutz- und 
strafrechtlicher Relevanz ist hierbei die Frage, ob Kun- 
dengespräche mit den jeweiligen Beratern des Callcenters 
durch z. B. einen Teamleiter mitgehört oder aufgezeich- 


net werden dürfen, um die Qualität der Kundenbetreuung 
zu überprüfen. 

Einvemehmlich mit den Datenschutzaufsichtsbehörden 
der Länder vertrete ich die Auffassung, dass eine Auf- 
zeichnung von Gesprächen nur nach vorheriger Einwilli- 
gung des Kunden und des Mitarbeiters in Betracht 
kommt. Eine Aufzeichnung ohne eine solche Einwilli- 
gung ist gmndsätzlich nach § 201 Strafgesetzbuch als 
„Verletzung der Vertraulichkeit des Wortes“ strafbar. 
Beim reinen Mithören eines Kundengespräches zur Qua- 
litätskontrolle oder zu Ausbildungszwecken empfehle 
ich, den Anrufer und den Mitarbeiter des Callcenters vor- 
her darüber zu informieren. Der Anmfer kann dann selbst 
entscheiden, ob er das Telefonat fortsetzt oder beendet. 

Im Berichtszeitraum haben meine Mitarbeiter bei ihren 
Beratungs- und Kontrollbesuchen festgestellt, dass einige 
Unternehmen diese Einwilligungslösung bereits prakti- 
zieren, andere hingegen noch auf eine Widerspruchslö- 
sung setzen, wonach der Kunde einer Aufzeichnung ex- 
plizit widersprechen muss. Sowohl bei den Kontrollen als 
auch auf den regelmäßigen Jours Fixes mit Teilnehmern 
der Telekommunikationsbranche habe ich die Unterneh- 
men aufgefordert, die Einwilligungslösung umzusetzen. 

Mit geringem technischem Aufwand ist es möglich, bei 
Inboundgesprächen (der Kunde ruft an) die Einwilligung 
vom Kunden über die Tastatur des Endgerätes oder über 
die Sprachsteuerung der Telefonanlage vor Gesprächsbe- 
ginn einzuholen. Bei Outboundgesprächen (das Unter- 
nehmen ruft den Kunden an) muss der Kunde vom Mitar- 
beiter des Callcenters direkt angesprochen werden. 

Die Gesprächsaufzeichnung bei Callcentem war auch ein 
Thema, das bei der ins Stocken geratenen Reform des 
Beschäftigtendatenschutzes (vgl. Nr. 13.1) kontrovers 
diskutiert wurde. Die von den Regierungsfraktionen vor- 
geschlagenen deutlich erweiterten Befugnisse zum heim- 
lichen Mithören und Aufzeichnen von Gesprächen lehne 
ich ab. 

6.11 Datenschutz auch beim Betrieb des 
neuen digitaien Behördenfunks 

Nach jahrzehntelangen Vorarbeiten wird der analoge Be- 
hördenfunk durch ein bundesweit einheitliches DigitaT 
funksystem für alle Behörden und Organisationen mit 
Sicherheitsaufgaben (BOS) sukzessive abgelöst. Als da- 
tenschutzrechtlich problematisch erwies sich der Umgang 
mit Verkehrsdaten dieses Telekommunikationssystems. 

Zurzeit befindet sich der digitale BOS-Behördenftmk in 
der Aufbau- und Inbetriebnahmephase und soll den tech- 
nisch veralteten analogen BOS-Funk bis zum Jahr 2014 
ablösen. Anders als der Analogfunk wird das BOS-Digi- 
talfunksystem zentral von einem Netzbetreiber für alle 
Bundes- und Landes-BOS betrieben und steht (nach fiä- 
chendeckendem Aufbau) deutschlandweit zur Verfügung. 
Damit wird erstmals ein bundesweites Funksystem zur 
Verfügung stehen, bei dem die Sprachübertragung durch- 
gehend verschlüsselt ist. Die Übermittlung von personen- 
bezogenen Daten über das Funksystem (Beispiele: Über- 
mittlung von Namen und Anschrift bei Personen- und 
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Kfz-Halterabfragen der Polizei) ist so gegen unbefugtes 
Mithören geschützt. 

Für den Aufbau und Betrieb des BOS-Funksystems ist zen- 
tral die Bundesanstalt für den Digitalfünk der Behörden 
und Organisationen mit Sicherheitsaufgaben (BDBOS) zu- 
ständig. Nutzbar gemacht wird der Digitalfunk für die 
BOS (z. B. Beschaffung, Freischaltung und Inbetrieb- 
nahme von Funkgeräten, technische Betreuung) durch die 
sog. Autorisierten Stellen von Bund und Ländern, die als 
„Service-Provider“ auftreten. Bei Beratungs- und Kon- 
trollbesuchen habe ich sowohl die BDBOS als auch die 
Autorisierte Stelle Bund für den Digitalfunk (AS Bund) 
aufgesucht, um mich über die konkreten Aufgaben und 
die Einhaltung des Datenschutzes zu informieren. 

Beratungs- und Kontrollbesuche bei der BDBOS 

Im Rahmen des BDBOS-Gesetzes (BDBOSG) wurde von 
der BDBOS ein privates Unternehmen mit dem Aufbau 
und dem technischen Betrieb der Systemtechnik beauf- 
tragt. Da beim Betrieb personenbezogene Daten (Teilneh- 
memummem) erhoben, gespeichert und verarbeitet 
werden, musste die BDBOS dafür auch einen Vertrag zur 
Auftragsdatenverarbeitung schließen, der die Einhaltung 
des Datenschutzes beim technischen Netzbetrieb sicher- 
stellt. Während diese Beauftragung datenschutzrechtlich 
nicht zu beanstanden war, halte ich jedoch die pauschale 
Speicherung sämtlicher Verkehrsdaten für einen Zeifraum 
von drei Monaten (und im Einzelfall sogar von bis zu 
120 Tagen) in Form von Call Data Records (CDR) für un- 
zulässig. Begründef wird die lange Speicherdauer damit, 
dass im Fehlerfall eine Analyse auch rückwirkend durch- 
geführt werden können müsse. Aus meiner Sicht rechtfer- 
tigt dies jedoch nicht die pauschale Speicherung der 
durchaus sensiblen Verkehrsdaten ohne konkrete Zweck- 
bindung. ln diesem Zusammenhang habe ich auch Beden- 
ken gegen die pauschale Herausgabe dieser Verkehrsda- 
ten an die Autorisierten Stellen des Bundes und der 
Länder, insbesondere deshalb, weil hier zurzeit keine ver- 
bindlichen Dienstanweisungen existieren. Hierzu bin ich 
weiter im Gespräch mit der BDBOS, um eine daten- 
schutzgerechte Lösung herbeizuführen, die die speziellen 
Aspekfe dieses Funksysfems berücksichtigf. Bei meinem 
lefzfen Besuch bei der BDBOS isf mir aufgefallen, dass 
die behördliche Datenschufzbeauftragfe nur nach vorheri- 
ger Anmeldung Zutritt zum Netzbetriebszentrum des pri- 
vatwirtschafllichen Unternehmens erhält, was im Gegen- 
satz zu ihrer Aufsichtspflicht steht. Eine Anpassung an 
die Vorgaben des BDSG wurde mir hier bereits zugesagt. 

Beratungs- und Kontrollbesuche bei der Autorisierten 
Stelle Bund für den Digitalfunk 

Die beim Bundespolizeipräsidium angesiedelte Autori- 
sierte Stelle Bund (AS Bund) ist verantwortlich für die 
Nufzbarmachung des Digitalfunks für alle Bundesbehör- 
den (auch ressortübergreifend). Zusätzlich trägt die 
AS Bund die Verantwortung für die Einführung und Nut- 
zung des digitalen Behördenfunks innerhalb der Bundes- 
polizei. 


Wie ich bei meiner Kontrolle festgestellt habe, ist durch 
die technischen Teilnehmemummem des zugrunde lie- 
genden TETRA-Funksystems und die namentliche Erfas- 
sung der Beschäftigten bei Ausgabe von Funkgeräten ein 
Personenbezug möglich und der jeweilige Nutzer be- 
stimmbar. Dieser datenschutzrechtliche Aspekt war den 
Verantwortlichen vorher nicht klar. Ich habe verdeutlicht, 
dass es sich deswegen beim Funkverkehr bzw. der Nut- 
zung eines Funkgerätes um einen Umgang mit personen- 
bezogenen Daten handelt, deren Erhebung, Verarbeitung 
und Nutzung nur zulässig ist, soweit eine Rechtsvor- 
schrift dies erlaubt oder der Betroffene eingewilligt hat. 
Eine entsprechende Rechtsgrundlage konnte mir aber 
zum Zeitpunkt meines letzten Besuches nicht genannt 
werden; eine Einwilligungslösung scheidet hier wegen 
der dienstlichen Verwendung des TK-Systems aus. Hier 
muss der Gesetzgeber nachbessem. 

Ich habe ferner auf die strikte Einhaltung der Zweckbe- 
stimmung beim Umgang mit diesen Daten und auf die er- 
forderliche Beteiligung der zuständigen Personalvertre- 
tung hingewiesen, da die Verkehrsdaten zur Verhaltens- 
und Leistungskontrolle der Digitalfunk nutzenden Be- 
schäftigten verwendet werden könnten. Die von mir be- 
reits während meines ersten Besuchs im November 2011 
angeregte Dienstanweisung zur Nutzung des Digitalfunks 
wurde kurz vor meinem zweiten Besuch im Novem- 
ber 2012 in Kraft gesetzt. Zu dieser Dienstanweisung 
habe ich während meines Besuchs im Detail datenschutz- 
rechtliche Änderungs- und Ergänzungsempfehlungen ge- 
geben. 

Obwohl der digitale BOS-Funk aufgrund der verschlüs- 
selten Sprachübertragung eindeutige Datenschutzvorteile 
gegenüber dem analogen BOS-Funk bei der täglichen 
Anwendung aufweist, müssen auch die datenschutzrecht- 
lichen Anforderungen hier ausreichende Berücksichti- 
gung finden. 

6.12 Deutsche Post AG 

6.12.1 Konzerndatenschutzrichtlinie der 

Deutschen Post DHL - ein langer Weg 

Die Konzerndatenschutzrichtlinie regelt die datenschutz- 
konforme Übermittlung von Daten aus der Europäischen 
Union in Drittstaaten. Die Umsetzung der erteilten Ge- 
nehmigung dauert länger als erwartet. 

ln meinem letzten Tätigkeitsbericht (vgl. 23. TB Nr. 10.1) 
hatte ich über den Abschluss des Genehmigungsverfah- 
rens auf europäischer Ebene berichtet. Spätestens nach- 
dem ich im Februar 20 11 die „Deutsche Post DHL Data 
Privacy Policy (Konzerndatenschutzrichtlinie)“ gebilligt 
und das Genehmigungsschreiben dem Vorstand über- 
reicht hatte, ging ich von einer zügigen Umsetzung inner- 
halb des Konzerns aus. Die Deutsche Post DHL (DP- 
DHL) war nun berechtigt, personenbezogene Daten nach 
Maßgabe ihrer Data Privacy Policy ins Ausland zu über- 
mitteln, ohne dafür im Einzelfall eine Genehmigung ein- 
zuholen. Sie war damit das erste deutsche Unternehmen, 
dessen verbindliche untemehmensweite Datenschutzre- 
gelung (BCR - Binding Corporate Rules) nach einem 
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umfassenden Konsultationsverfahren zwischen den Da- 
tenschutzbehörden der Europäischen Union anerkannt 
wurde. 

Mit meiner Billigung wurde ein (vermeintlich) wesentli- 
cher Schritt auf dem langen Weg bis zur endgültigen Um- 
setzung der BCR zurückgelegt. Offensichtlich war das 
untemehmensinteme Verfahren aber so zeitaufwändig, 
dass mir erst zum Ende des Berichtszeitraums die „Deut- 
sche Post Data Privacy Policy“ in einer Form präsentiert 
werden konnte, die im Gesamtuntemehmen verteilt und 
dort den geltenden Datenschutzstandard festlegen wird. 
Im November 2012 hat die letzte Umsetzungsphase, näm- 
lich der Versand der Beitrittserklärungen an die interna- 
tionalen Konzemgesellschaften, begonnen. Erst im Laufe 
des Jahres 2013 wird nach den Planungen der DP AG die 
endgültige Umsetzung der Konzemdatenschutzrichtlinie 
abgeschlossen sein. Ich bin mir, nicht zuletzt wegen der 
gegebenen Zusicherung der DP AG, sicher, dass es soweit 
kommen wird; Prognosen zum zeitlichen Verlauf gebe ich 
aber keine mehr ab. 

6.12.2 Können Packstationen unbesorgt 

genutzt werden - Kontrollerfahrungen 

Der Datenschutz ist gewährleistet, aber Vorsicht bei 
Phish ing-A ttacken ! 

Die überwiegende Zahl der Beschwerden über die Deut- 
sche Post AG (DP AG) betreffen Falschzustellungen, un- 
berechtigte Rücksendungen an den Absender oder die 
Aufbewahrung von Briefsendungen. Zahlreiche Einga- 
ben, in denen mir Phishing- Attacken bei der Nutzung von 
Packstationen mitgeteilt wurden, habe ich zum Anlass ge- 
nommen, mich detailliert vor Ort zu informieren. 

Bei den Packstationen handelt es sich um Paketautoma- 
ten, an denen Kunden der DP AG Sendungen unabhängig 
von Öffnungszeiten abholen oder einliefem können. Zur 
Nutzung dieser Anlage (Ausnahme: Einlieferung von 
Sendungen) muss sich jeder Kunde zunächst in einem 
zweistufigen Verfahren registrieren. Dies erfolgt im ers- 
ten Schritt durch Ausfüllen eines Online-Registrierungs- 
formulars, in dem u. a. die E-Mail-Adresse und die Mo- 
bilrufnummer anzugeben sind; über diese Kontaktkanäle 
wird der Kunde über abholbereite Sendungen informiert. 
Im zweiten Schritt werden diese Angaben im Postident- 
verfahren verifiziert, danach erhält der Kunde persönlich 
die Unterlagen zur Nutzung der Packstationen („Begrü- 
ßungsset“). 

Die Petenten berichteten, dass sie per E-Mail um Heraus- 
gabe ihrer Authentisierungsdaten (Postnummer und PIN) 
gebeten wurden. Diese E-Mails erweckten den Anschein, 
als würde es sich um Anschreiben der DP AG handeln. 
Auf diesem Weg versuchten unbekannte Dritte, illegal 
Zugriff auf die in den Packstationen lagernden Sendun- 
gen zu erhalten. 

Die DP AG teilte mir auf meine Nachfrage mit, sie sei 
über diese Angriffe und Manipulationsversuche infor- 
miert und habe als Gegenmaßnahme Hinweise auf mögli- 
che Phishing- Angriffe und zum sicheren Umgang mit den 
Zugangsdaten im Begrüßungsset aufgenommen. Der 


Kunde werde eindeutig darauf hingewiesen, dass die zur 
Warenabholung notwendigen Daten auf keinen Fall wei- 
tergegeben werden dürften. Zur Eindämmung der 
Phishing-Problematik gründete die DP AG zudem ein 
sog. Anti-Phishing-Response-Team, das Angriffe analy- 
sieren und die Sperrung der entsprechenden Intemetseiten 
veranlassen soll. Weiter wurde das Authentisierungsver- 
fahren zur Warenabholung mittels Postnummer und PIN 
umgestellt. Nun ist zusätzlich seit dem 2. Quartal 2011 
eine Magnetstreifenkarte zur Abholung notwendig. 

Seit November 2012 wurde die Magnetstreifenkarte 
durch eine mobile TAN (mTAN) ersetzt, die der Kunde 
per SMS erhält. Da die mTAN eine transaktionsbezogene 
Nummer mit begrenzter Gültigkeit ist, wird so ein poten- 
tieller Missbrauch zusätzlich erschwert. Aufgrund dieser 
Sicherheitsmechanismen greifen Phishing-Mails nicht 
mehr. 

Auch wenn keine hundertprozentige Sicherheit gewährt 
werden kann, sehe ich das aktuelle Verfahren beim Abho- 
len von Sendungen an den Packstationen mittels PIN und 
mTAN als datenschutzkonform an. Auch die Prüfung der 
Identität bei der Anmeldung zu diesem Verfahren ent- 
spricht den datenschutzrechtlichen Vorgaben. 

Aufgrund weiterer Eingaben habe ich mir darüber hinaus 
auch in einem Verteilzentrum und in einem Zustellstütz- 
punkt einen persönlichen Eindruck davon verschafft, ob 
und wie die datenschutzrechtlichen Vorgaben dort einge- 
halten werden. Trotz umfangreicher Schulungsmaßnah- 
men, die von Qualitätskontrollen bei der Zustellung be- 
gleitet werden, lassen sich Fehler beim Umgang mit 
Paket- und Briefsendungen leider nicht immer vermei- 
den. Mir ist durchaus bewusst, dass dies für den Betroffe- 
nen mit viel Ärger und manchmal sogar mit Nachteilen 
verbunden sein kann, aber auch hier gilt der Grundsatz 
„wo gehobelt wird, da fallen Späne“. Es ist jedoch zu be- 
rücksichtigen, dass sich diese unerfreulichen Versäum- 
nisse der Anzahl nach im unteren Promillebereich bewe- 
gen. 

Insgesamt bleibt festzustellen, dass sich die Dienstleis- 
tungen der DP AG auf einem hohen Datenschutz- und 
Qualitätsniveau bewegen. Die mir bekannt gewordenen 
Fehler mit Datenschutzrelevanz sind durchweg auf ein- 
zelnes menschliches Fehlverhalten zurückzuführen und 
keinesfalls durch fehlerhafte Systemprozesse bedingt. 
Nach meiner Einschätzung kann der Datenschutz hier nur 
durch noch bessere Schulungs- und Sensibilisierungs- 
maßnahmen weiter verbessert werden. 

6.13 Hohes Datenschutzniveau bei den 
Postdienstleistern 

Auf dem Markt der Postdienstleister haben sich neben der 
Deutschen Post AG eine Reihe weiterer Lizenznehmer 
etabliert; dabei handelt es sich überwiegend um kleine 
und mittlere Unternehmen, die insbesondere auf regiona- 
len Märkten tätig sind. 

Auch zu diesen Unternehmen haben mich Eingaben 
erreicht, die in etwa die gleichen Probleme wie beim 
„gelben Bruder“ zum Gegenstand hatten. Thematisiert 
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wurden überwiegend Falschzustellungen, angeblich un- 
berechtigterweise geöffnete Briefe sowie Missstände bei 
der Zwischenaufbewahrung von Postsendungen. 

Im Unterschied zu den Beschwerden über die Deutsche 
Post AG wurden hier allerdings auch Versäumnisse bei 
der Sortierung beklagt. Jedoch zeigt die Anzahl der Ein- 
gaben hier ebenfalls - gemessen an dem riesigen Volu- 
men des täglich zu transportierenden Brief- und Paketauf- 
kommens dass sich die Beschwerden glücklicherweise 
im untersten Promillebereich bewegen. Dennoch bin ich 
natürlich auch diesen relativ wenigen Eingaben nachge- 
gangen. 

Wie ich mich bei mehreren Kontroll- und Informationsbe- 
suchen überzeugen konnte, wird bei diesen Unternehmen 
datenschutzkonform gearbeitet. Wurden einmal kleinere 
Mängel festgestellt, so sind diese - unter Berücksichti- 
gung meiner vor Ort gegebenen Hinweise - umgehend 
abgestellt worden. Oft führte alleine meine Besuchsan- 
kündigung schon zu einem höheren Datenschutzbewusst- 
sein und zur Behebung von Datenschutzmängeln. Über- 
wiegend sind die Beschwerden auf Unzulänglichkeiten 
bei der Qualität der Zustellung zurückzuführen, verur- 
sacht durch Fehlverhalten im menschlichen Bereich. Es 
ist nicht zuletzt der Mensch der Faktor, der datenschutz- 
gerechte Leistungen erbringen muss. 

Es bleibt aber festzustellen, dass große und kleine Post- 
dienstleister ihre Aufgaben insgesamt datenschutzgerecht 
erfüllen. 

7 Innere Sicherheit und Strafrecht 

7.1 Evaluierung von Sicherheitsgesetzen 

Die Evaluierung von Sicherheitsgesetzen bleibt eine der 
Kernforderungen des Datenschutzes. Das Terrorismusbe- 
kämpfungsergänzungsgesetz hat die Bundesregierung nur 
unzureichend evaluiert, die Evaluierung des Antiterror- 
dateigesetzes ist noch nicht abgeschlossen. Für künftige 
Evaluierungen habe ich beim Deutschen Forschungs- 
institut für öffentliche Verwaltung einen Leitfaden in Auf- 
trag gegeben. Dieser steht nunmehr allen Interessierten 
zur Verfügung. 

Sicherheitsgesetze enthalten Befugnisse, die oftmals in- 
tensiv in die Grundrechte der Betroffenen eingreifen. Bei- 
spiele sind verdeckte Ermittlungsmaßnahmen wie die Te- 
lekommunikationsüberwachung oder die umfassenden 
Befugnisse der Nachrichtendienste, bei denen die Rechts- 
schutzmöglichkeiten des Einzelnen nur eingeschränkt be- 
stehen. Solche neuen Befugnisse werden oftmals unter 
dem Eindruck aktueller Ereignisse oder Gefahren mit 
großer Eile eingeführt. Daher ist es notwendig, in regel- 
mäßigen Abständen gründlich zu überprüfen, ob die Be- 
fugnisse sich als effektiv, notwendig und verhältnismäßig 
erwiesen haben. Immer wieder habe ich deswegen gefor- 
dert, die Sicherheitsgesetze umfassend zu evaluieren (vgl. 
ausführlich 23. TB Nr. 7.1.1). Wichtig ist dabei auch, die 
vom Gesetzgeber gewählten legislativen Mittel insgesamt 
in ihren Wechselwirkungen zu berücksichtigen und nicht 
nur die Folgen des einzelnen Gesetzes („Überwachungs- 
gesamtrechnung“). Die Evaluierung muss anhand einer 


umfassenden Sachverhaltsauswertung die tatsächlichen 
- auch mittelbaren - Auswirkungen auf die Betroffenen 
analysieren. Eine Analyse des Ist-Zustandes kann auch 
im Vorfeld umfassender Reformen hilfreich sein. Zuerst 
muss geklärt werden, ob bestehende Vorschriften in der 
Vergangenheit richtig angewandt, Arbeitsschwerpunkte 
richtig gesetzt und Ressourcen zielgerichtet verwendet 
worden sind. Erst dann kann entschieden werden, ob und 
welche gesetzgeberischen Schritte notwendig sind (vgl. 
dazu Nr. 7.7.6). 

Die Deutungshoheit darf dabei nicht bei den Stellen lie- 
gen, die mit zusätzlichen Befugnissen ausgestattet wur- 
den. Vielmehr muss der Deutsche Bundestag auf Basis 
unabhängiger und nach wissenschaftlichen Kriterien 
durchgeführter Evaluationen darüber entscheiden, ob ein- 
mal beschlossene Möglichkeiten weiterhin gerechtfertigt 
sind. Kritisch sehe ich es deshalb, wenn die Bundesregie- 
rung oder eines ihrer Ressorts die Evaluierungen selbst 
durchführt. 

So legte das Bundesministerium des Innern 2011 einen 
von ihm selbst erstellten Evaluierungsbericht zum Terro- 
rismusbekämpfungsergänzungsgesetz (TBEG) vor, für 
den es sich nur externe Methodenberatung eingeholt 
hatte. Der Bericht war zudem inhaltlich unzureichend. Im 
Mittelpunkt der Analysen hatte nicht die Frage gestanden, 
welche Auswirkungen das Gesetz auf die Grundrechte 
der Betroffenen hatte. Genau das wäre aber notwendig 
gewesen, um die Verhältnismäßigkeit der Befugnisse be- 
urteilen zu können. Der Evaluierungsbericht hätte also 
soweit wie möglich die Frage beantworten müssen, ob 
das Gesetz seine Ziele erreicht und der Gesetzgeber dabei 
das jeweils mildeste geeignete Mittel gewählt hat. Der 
vorliegende Bericht machte jedoch schon nicht hinrei- 
chend deutlich, auf welcher tatsächlichen Grundlage er 
beruht. Es ist insbesondere nicht zu erkennen, ob zumin- 
dest exemplarische Einzelfälle gründlich ausgewerfef 
worden sind. Insgesamt haben sich die Autoren mit den 
Grundrechten der Betroffenen nur oberflächlich aus- 
einandergesetzt. Für das Antiterrordateigesetz lag bis Re- 
daktionsschluss noch kein abschließender Evaluierungs- 
bericht vor. Die Frist dafür war am 31. Dezember 2011 
abgelaufen. Zu den im Koalitionsvertrag vorgesehenen 
Evaluierungen (vgl. 23. TB Nr. 7.1.1) liegt bislang eben- 
falls kein Bericht vor - die hierfür ersf Anfang Ja- 
nuar 2013 eingesefzfe Regierungskommission wird diese 
Aufgabe in der in dieser Legislaturperiode noch zur Ver- 
fügung sfehenden Zeit kaum in der gebotenen Gründlich- 
keit erledigen können. 

Immerhin hat der Gesetzgeber aufgrund der negativen Er- 
fahrungen mit der Evaluierung des Terrorismusbekämp- 
fungsergänzungsgesetzes eine neue Evaluierungsklausel 
geschaffen („Gesetz zur Änderung des Verfassungs- 
schutzgesetzes“). Danach ist künftig ausdrücklich zu eva- 
luieren, wie häufig und mit welchen Auswirkungen die 
Nachrichtendienste aufgrund der mit diesem Gesetz 
geschaffenen Befugnisse in die Grundrechte der Betroffe- 
nen eingegriffen haben. Dies ist mit der Frage abzuglei- 
chen, wie wirksam und effektiv mit Hilfe dieser Befug- 
nisse terroristische Aktivitäten aufgespürt oder bekämpft 
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werden konnten. Ich hoffe, hierdurch werden zumindest 
für dieses Gesetz auch in der Praxis künftige Evaluierun- 
gen verbessert. 

Als Hilfestellung für künftige Evaluierungen hatte ich 
beim Forschungsinstitut für öffentliche Verwaltung einen 
„Leitfaden zur Durchführung von ex-post-Gesetzeseva- 
luationen unter besonderer Berücksichtigung der daten- 
schutzrechtlichen Folgen“ in Auftrag gegeben. Der Leit- 
faden wurde Ende 2012 fertiggestellt. Er richtet sich an 
alle Stellen, die eine Gesetzesevaluation in Auftrag geben 
möchten oder mit ihr betraut sind, also insbesondere an 
Abgeordnete, Wissenschaftler und Beamte. Der Leitfaden 
setzt sich umfassend mit den Standards, Evaluations- 
instrumenten und Methoden auseinander, die für die Eva- 
luation gelten und stellt die verfassungsrechtlichen Rah- 
menbedingungen dar. Er gibt zudem einen praktischen 
Überblick über die notwendigen Abläufe bei den zu eva- 
luierenden Stellen. Schon bevor eine Evaluierung in Auf- 
trag gegeben wird, hilft der Leitfaden den Entscheidungs- 
trägem, dafür die richtigen Bedingungen festzulegen. 

Link zum Leitfaden Evaluiemng: http://www.daten 
schutz.bund.de 

7.2 Antiterrordatei 

Kritische Nachfragen des Bundesverfassungsgerichts 
zum Antiterrordateigesetz (ATDG). Meine Kontrollen be- 
legen: Auch in grundsätzlicher Hinsicht bestehen weiter- 
hin erhebliche datenschutzrechtliche Defizite. 

Am 6. November 2012 hat das Bundesverfassungsgericht 
eine Verfassungsbeschwerde über das ATDG verhandelt. 
Auf Auffordemng des Gerichts habe ich in der mündli- 
chen Verhandlung meine Kritik an dem Gesetz (vgl. 
21. TB Nr. 5.1.1) vorgetragen und über meine Kontroll- 
erfahrungen berichtet. Insbesondere habe ich angeregt, 
den Gesetzgeber aufzufordem, zum Schutz unbescholte- 
ner (Kontakt-)Personen diverse Regelungen im ATDG 
enger, hinreichend bestimmt und verhältnismäßig auszu- 
gestalten. Das Gericht hat die Vertreter der Bundesregie- 
mng und der betroffenen Behörden auch zu den von mir 
kritisierten Regelungen kritisch befragt. Eine Entschei- 
dung lag bei Redaktionsschluss noch nicht vor. Ich 
erwarte, dass das Urteil Auswirkungen auf die mit der An- 
titerrordatei (ATD) weitgehend inhaltsgleiche Rechts- 
extremismusdatei (RED - vgl. Nr. 7.3) haben wird. 

Meine Kontrollen belegen: Es bestanden (vgl. 23. TB 
Nr. 7. 1 .2) und bestehen erhebliche datenschutzrechtliche 
Probleme. Diese kann ich - auch aus Gründen der Ge- 
heimhaltung - hier nur abstrakt und exemplarisch darle- 
gen: 

- Der Militärische Abschirmdienst (MAD) hat in der 
ATD Personen als „dolose“ Kontaktpersonen (also als 
Personen, die von der Planung oder Begehung einer 
Tat Kenntnis haben - vgl. 22. TB Nr. 4. 2. 2. 2) gespei- 
chert, ohne zu diesen Personen über eigene Erkennt- 
nisse zu verfügen, die diese Speicherung und Bewer- 
tung (vgl. § 2 ATDG) gerechtfertigt hätten (vgl. zur 
Problematik der Kontaktpersonenspeicherung 22. TB 
Nr. 4.2.2.2 und 21. TB Nr. 5.1.1). Der MAD hat dies 


mit dem Hinweis begründet, eine andere Behörde 
habe die Betroffenen in der ATD als (dolose) Kontakt- 
personen gespeichert. Diese Vorgehensweise wider- 
spricht den Vorgaben des § 2 Satz 1 ATDG. Danach ist 
es erforderlich, dass ein in der ATD gespeichertes Da- 
tum von der speichernden Stelle selbst erhoben wor- 
den ist, wie sich auch aus der Begründung zum ATDG 
ergibt. Danach dürfen nur (weitergehende) Erkennt- 
nisse gespeichert werden, über die die speichernde 
Stelle bereits verfügt. Nach Ansicht des MAD ist diese 
Vorgabe nicht aus der Gesetzesbegründung ableitbar. 
Die Diskussion hierzu dauert an. 

- Der Bundesnachrichtendienst (BND) hatte in Freitext- 
feldem seiner ATD-Quelldatei unzulässige Daten ge- 
speichert. Noch im Kontrolltermin hat er die Lö- 
schung und eine rechtskonforme Befüllung dieser 
Felder zugesagf, so dass ich von einer Beanstandung 
abgesehen habe. 

Wie ich bei meiner ATD-Kontrolle ferner festgestellt 
habe, hatte der BND einen bei einem deutschen Groß- 
unternehmen tätigen deutschen Staatsangehörigen so- 
wohl in der ATD als auch in der entsprechenden 
Quelldatei des BND als dolose Kontaktperson gespei- 
chert. 

Während meiner Prüfung musste der BND einräumen, 
dass zu diesem Fall keine Akten vorhanden seien. Auf 
Nachfrage teilfe er im Kontrolltermin mündlich mit, es 
sei eine Anfrage des Großunternehmens erfolgt, ob 
der Betroffene beim BND bekannt sei. Er habe dies 
geprüft und dem Unternehmen gegenüber verneint. 
Weshalb der Betroffene aufgrund dieser Anfrage als 
dolose Kontaktperson gespeichert worden sei, sei 
nicht (mehr) erklärbar - zumal der BND über keine 
sonstigen Erkenntnisse zu dem Betroffenen verfügt 
habe. 

Obwohl ich den BND im Kontrolltermin um die Sper- 
rung der Daten des Betroffenen bis zum Abschluss 
meiner Prüfung gebeten hatte, hat dieser aufgrund ei- 
nes vermeintlichen Missverständnisses die Daten nach 
meiner Kontrolle abredewidrig gelöscht. Ein Zugriff 
auf die ATD-Protokolldaten dieses Falles wurde mir 
von dem zuständigen Bundeskriminalamt verwehrt. 

Abweichend von seinen Einlassungen im Kontrollter- 
min hat der BND den Sachverhalt nachträglich schrift- 
lich wie folgt dargestellt: Es sei keine Anfrage des 
Großunternehmens erfolgt. Man habe dorthin auch 
keine Daten des Betroffenen übermittelt. Vielmehr sei 
die Anfrage von einer ausländischen öffentlichen 
Stelle erfolgt. Dorthin sei auch die Antwort übermit- 
telt worden. Belege hierfür konnte der BND nicht vor- 
legen. 

Diese Änderung des Sachverhalts hat für den Betroffe- 
nen gravierende rechtliche Folgen. Während die Aus- 
kunft des BND an das Großunternehmen dem Betrof- 
fenen mitgeteilt werden muss, ist die Auskunft an eine 
öffentliche ausländische Stelle nicht mitteilungspflich- 
tig- 
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Bei meiner Kontrolle hatte ieh Ausdrueke (Sereen- 
shots) der von mir gesiehteten Bildsehirminhalte (zu 
den Datenspeieherungen des Betroffenen) erstellen 
lassen. Diese stützen inhaltlieh die ursprüngliehen, 
mündliehen Darlegungen des BND, wonaeh es sieh 
um eine Anfrage des vorgenannten Großunternehmens 
gehandelt hat, die er beantwortet habe. Deswegen 
habe ieh den BND aufgefordert, den Betroffenen hie- 
rüber in Kenntnis zu setzen. Während der BND mir 
dies naeh intensiven Erörterungen zugesagt hatte, hat 
das Bundeskanzleramt als zuständige Faehaufsiehts- 
behörde eine Mitteilungspflieht verneint und den BND 
angewiesen, keine Mitteilung durehzuführen. Dem 
habe ieh widersproehen. Eine Stellungnahme des Bun- 
deskanzleramtes stand bei Redaktionssehluss noeh 
aus. 

Diese und weitere Ergebnisse meiner Kontrollen habe 
ieh aufforderungsgemäß an das Bundesverfassungsge- 
rieht übermittelt. Aueh mehrere Landesbeauftragte für 
den Datensehutz haben dem Gerieht ihre Kontroller- 
fahrungen mitgeteilt. 

7.3 Rechtsextremismusdatei 

Die Datei zur Bekämpfung des Rechtsextremismus (RED) 
ist ebenso wie ihr Vorbild - die Antiterrordatei (ATD - 
vgl. Nr. 7.2) - eine gemeinsame Datei der Polizeien und 
Nachrichtendienste. Trotz einzelner Verbesserungen ge- 
genüber der ATD sehe ich noch dringenden gesetzgeberi- 
schen Handlungsbedarf. Bei ersten Kontrollen habe ich 
bereits Verstöße festgestellt. 

Gesetzliehe Grundlage für diese Datei ist das Gesetz zur 
Bekämpfung des Reehtsextremismus (REDG), das weit- 
gehend inhaltlieh dem Antiterrordateigesetz (ATDG - 
vgl. 21. TB Nr. 5.1.1.) entsprieht. Neu ist, dass die in der 
RED gespeieherten Daten projektbezogen ausgewertet 
werden dürfen (vgl. § 7 REDG). ln Kraft getreten ist das 
REDG am 31. August 2012. 

Naeh einer Mitteilung des Bundesministeriums des 
Innern (BMI) soll die RED „als zweite zentrale Säule [ne- 
ben dem GAR - vgl. Nr. 7.7.6] den Informationsaus- 
tauseh zwisehen Polizeien und Naehriehtendiensten ver- 
bessern“. Zu diesem Zweek verpfliehtet das REDG 
36 Sieherheitsbehörden des Bundes und der Länder (Bun- 
deskriminalamt, Bundespolizei, Bundesamt für Verfas- 
sungssehutz, Militäriseher Absehirmdienst, Landesver- 
fassungssehutzbehörden und Landeskriminalämter), ihre 
Daten zum gewaltbezogenen Reehtsextremismus in der 
RED zu speiehem. Das Bundeskriminalamt (BKA) führt 
die Datei, die am 19. September 2012 offiziell in Betrieb 
gegangen ist. 

Für das BMI ist die RED „eine riehtige Konsequenz aus 
der NSU-Mordserie, da an der einen oder anderen Stelle 
die Kommunikation zwisehen den Behörden verbesse- 
rungsbedürftig“ gewesen sei. Angesiehts der noeh laufen- 
den Untersuehungen zur Aufklärung der NSU-Taten 
sowie möglieher Defizite auf Seiten der Sieherheitsbehör- 
den und der hierfür maßgebliehen Ursaehen (vgl. 
Nr. 7.7.6) halte ieh diese Aussage für gewagt. Saehge- 


reehte Konsequenzen können sinnvoller Weise nur naeh 
einer umfassenden und gründliehen Untersuehung aller 
Umstände und Ursaehen gezogen werden. Wenn Mitar- 
beiter von Sieherheitsbehörden nieht erkennen (wollen), 
dass eine Tat einen reehtsextremistisehen Hintergrund 
hat, werden sie diese Erkenntnis nieht in einer entspre- 
ehenden Faehdatei ihrer Behörde speiehem. Folglieh ge- 
langen diese Erkenntnisse dann aueh nieht in die RED. 
Daher muss man klar feststellen: Völlzugsdefizite können 
aueh mit der RED nieht beseitigt werden. 

Hierauf habe ieh aueh in meiner Stellungnahme als Saeh- 
verständiger in der öffentliehen Anhömng des Innenaus- 
sehusses des Deutsehen Bundestages zum REDG am 
19. März 2012 hingewiesen (vgl. BT, Innenaussehuss- 
dmeksaehe 17(4)460E). Zudem habe ieh dort aueh kriti- 
siert, dass zur Begründung der RED auf die seit 2007 „er- 
folgreieh“ betriebene ATD verwiesen wird. Für diese 
Bewertung sah ieh keine valide Erkenntnisgmndlage, so- 
lange nieht die gesetzlieh vorgesehriebene Evaluiemng 
des ATDG (vgl. Nr. 7.1) durehgeführt worden ist. 

Meine Bedenken riehteten sieh aueh dagegen, dass das 
REDG vor der Entseheidung des Bundesverfassungsge- 
riehts zu einer dort anhängigen Verfassungsbesehwerde 
zum ATDG gefallen ist (vgl. Nr. 7.2). Eine aueh nur teil- 
weise Verfassungswidrigkeit des ATDG hätte weitrei- 
ehende Folgen für die inhaltsgleiehen Regelungen des 
REDG. 

Wie ieh in meiner Stellungnahme vor dem Bundesverfas- 
sungsgerieht ausgeführt habe, müssen insbesondere zum 
Sehutz unbeseholtener (Kontakt-)Personen aueh im 
REDG einige Regelungen enger bzw. hinreiehend be- 
stimmter und verhältnismäßig gefasst werden. 

Zudem habe ieh über meine Kontrollerfahmngen bzgl. 
der RED beriehtet. Bei den wenige Tage vor der mündli- 
ehen Verhandlung durehgeführten Kontrollen des REDG 
beim Bundeskriminalamt und Bundesamt für Verfas- 
sungssehutz (BfV) hatte ieh festgestellt, dass das BfV alle 
Personen, die es in der RED als dolose Kontaktpersonen 
gespeiehert hatte, nur als undolose Kontaktpersonen hät- 
ten führen dürfen (zur Frage, wann eine Konfaktperson 
als „dolos“ einzustufen ist vgl. 23. TB Nr. 7.1.2). Dies ist 
für die Befroffenen von erheblieher Bedeutung. Nur zu 
dolosen Kontaktpersonen dürfen über Identifiziemngs- 
angaben (sog. Grunddaten - z. B. Name, Vorname, Adresse, 
Geburtsdatum, ete. - vgl. § 3 Absatz 1 Ziffer 1 Bueh- 
stabe a ATDG) hinausgehende sog. erweiterte Grundda- 
ten gespeiehert werden (vgl. § 3 Absatz 1 Ziffer 1 Bueh- 
stabe b REDG; vgl. Kasten zu Nr. 7.3). Das BfV hat noeh 
im Kontrolltermin unverzügliehe Korrekturen zugesagt. 

Wie ieh bei meiner Prüfung ferner festgestellt habe, über- 
trägt das BfV naeh einem - mit anderen Behörden ab ge- 
stimmten - Kriterienkatalog systematiseh aueh Daten in 
die RED, die dort nieht gespeiehert werden dürfen. Da 
dieser Katalog als Versehlusssaehe eingestuft ist, darf ieh 
hierüber nieht detaillierter beriehten. Folglieh darf ieh 
aueh die konkreten Daten (-Kategorien) hier nieht benen- 
nen. Ieh kann jedoeh sagen, dass es sieh um äußerst sen- 
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sible Daten handelt und ich deren systematische Übertra- 
gung und Speicherung in der RED nicht erwartet hätte. 

Diese Feststellungen erfordern - ebenso wie andere 
Punkte - weitergehende Kontrollen, auch um die Dimen- 
sion der Problematik ermitteln zu können. Bis zum Re- 
daktionsschluss konnte ich diese Prüfungen noch nicht 
durchführen. Eine abschließende Bewertung ist erst da- 
nach möglich. 

Kasten zu Nr. 7.3 


Erweiterte Grunddaten (§ 3 Absatz 1 Ziffer 1 
Buchstabe b REDG) 

Hierzu gehören sehr umfängliche Daten, wie z. B. ei- 
gene oder von Dritten genutzte Telekommunikations- 
anschlüsse und Telekommunikationsendgeräte, Adressen 
für elektronische Post, Bankverbindungen, Schließfä- 
cher, auf die Person zugelassene oder von ihr genutzte 
Fahrzeuge, Angaben zum Schulabschluss, zur berufs- 
qualifizierenden Ausbildung und zum ausgeübten Be- 
ruf, Angaben zu einer gegenwärtigen oder früheren 
Tätigkeit in einer lebenswichtigen Einrichtung, Sprach- 
kenntnisse, zusammenfassende besondere Bemerkun- 
gen, ergänzende Hinweise und Bewertungen sowie 
zahlreiche weitere Informationen (vgl. § 3 Absatz 1 Zif- 
fer 1 Buchstabe b Doppelbuchstabe aa bis uu). 


7.4 Bundeskriminalamt 

7.4.1 Quellen-Telekommunikations- 

überwachung 

Bei der sog. Quellen-Telekommunikationsüberwachung 
habe ich Mängel festgestellt. 

Ich habe die von Bundeskriminalamt, Zollkriminalamt 
und Bundespolizei durchgeführten Telekommunikations- 
überwachungen datenschutzrechtlich kontrolliert (vgl. 
zum ZKA bereits 23. TB Nr. 7.4). Dabei habe ich Mängel 
bei der technischen Absicherung der Maßnahmen und 
den Löschungsmechanismen für Erkenntnisse aus dem 
Kembereich privater Lebensgestaltung festgestellt. Bis zu 
meiner Kontrolle waren 40 Quellen-Telekommunika- 
tionsüberwachungen durchgeführt worden (vgl. Kasten 
zu Nr. 7.4.1). 

Mangelhaft war die Absicherung der ausgeleiteten Daten- 
ströme. Diese waren mit einem unzureichenden Ver- 
schlüsselungsmechanismus versehen. Darüber hinaus war 
nicht ausreichend sichergestellt, dass sich die an den tech- 
nischen Prozessen beteiligten Personen und Systeme 
hinreichend sicher authentisieren. Die vorhandenen Pro- 
tokolle in Verbindung mit anderen Informationen ermög- 
lichten zwar eine gute Nachvollziehbarkeit der Aktionen/ 
Zugriffe, entsprechen aber nicht den Anforderungen des 
§ 201 Absatz 2 Satz 2 i. V. m. § 20k Absatz 3 BKAG. Dies 
habe ich gegenüber dem Bundesministerium des Innern 
und dem Bundesministerium der Finanzen formell bean- 
standet. Durch die Infiltration des Computers können Si- 
cherheitslücken geschaffen werden, die es auch Dritten 


ermöglichen, in das System einzudringen. Daher müssen 
Datenströme zum einen sicher verschlüsselt sein. Zum 
anderen dürfen nur legitimierte Personen und Systeme 
auf die Daten zugreifen können (Authentifizierung). Ich 
habe Anhaltspunkte dafür gefunden, dass beide Mecha- 
nismen unzureichend in der Überwachungssoftware im- 
plementiert wurden und der Schlüssel für Dritte leicht zu 
finden war. 

Eine genaue technische Analyse war mir allerdings nicht 
möglich. Der Quellcode der eingesetzten Software war 
nicht dokumentiert. Das Bundeskriminalamt hat sich 
noch bemüht, auf den Hersteller der Software einzuwir- 
ken, um mir den Quellcode zur Verfügung zu stellen. Die- 
ser hat jedoch von meinen Mitarbeitern verlangt, eine 
Verschwiegenheitserklärung zu unterschreiben. Zudem 
verlangte der Hersteller einen erheblichen Geldbetrag für 
seinen Personaleinsatz. Beides habe ich abgelehnt. Meine 
Prüfkompetenz kann nur durch Gesetz eingeschränkt 
werden. Eine vertragliche Geheimhaltungsvereinbarung 
würde zudem meine gesetzlichen Berichtspfiichten beein- 
trächtigen, zum Beispiel gegenüber dem Deutschen Bun- 
destag. Der Hersteller der Software ist weder mein 
Vertragspartner noch unterliegt er meiner datenschutz- 
rechtlichen Kontrolle. Kann der Quellcode nicht von der 
geprüften Behörde für Zwecke der Datenschutzkontrolle 
zur Verfügung gestellt werden, endet meine datenschutz- 
rechtliche Kontrollmöglichkeit. 

Ich habe mir bei der Kontrolle neben dem technischen 
System auch die erlangten Informationen genau angese- 
hen. Aus den eingesehenen Unterlagen und Dateien erga- 
ben sich keine Anhaltspunkte dafür, die Behörden hätten 
mit der eingesetzten Software über die laufende Telekom- 
munikation hinaus Daten erhoben oder die Nutzer weiter- 
gehend überwacht. Insbesondere fand ich keine Bild- 
schirmfotos, Nutzerdateien oder dergleichen. 

Rechtlich konnte ich die Maßnahmen nur begrenzt prü- 
fen. Soweit die Behörden Maßnahmen im Auftrag von 
Staatsanwaltschaften der Länder durchführten, war ich 
nur insoweit kontrollbefugt, als die Bundesbehörden ei- 
nen eigenen Entscheidungsspielraum hatten. Die notwen- 
digen richterlichen Beschlüsse konnten mir vorgelegt 
werden. Wie sich aus diesen ergab, waren die Maßnah- 
men zulässig. Den Inhalt der Beschlüsse bewerte ich aus 
Respekt vor der richterlichen Unabhängigkeit nicht, ln 
rechtspolitischer Hinsicht sehe ich im Bereich strafrecht- 
licher Ermittlungen aber keine Rechtsgrundlage für diese 
Maßnahmen. Die entsprechende Vorschrift der Strafpro- 
zessordnung sieht nicht vor, dass Computer heimlich mit 
einer Software infiltriert werden. Entsprechend gilt dies 
für die Vorschriften im Zollbereich. 

Die gesetzlichen Bestimmungen beziehen sich nur auf die 
herkömmliche Form der Telekommunikationsüberwa- 
chung, bei der die Telekommunikationsanbieter die 
Gespräche auf Anordnung der Sicherheitsbehörden aus- 
leiten. Auf die mit der Quellen-Telekommunikationsüber- 
wachung verbundenen zusätzlichen Risiken hat das Bun- 
desverfassungsgericht in seiner Entscheidung zur sog. 
Onlinedurchsuchung ausdrücklich hingewiesen und be- 
sondere gesetzliche Regelungen für derartige besonders 
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eingriffsintensive Maßnahmen gefordert. Eine entspre- 
chende Befugnisnorm für die Onlinedurchsuchung und 
die Quellen-TKÜ hat der Bundesgesetzgeber bislang aber 
nur für das Bundeskriminalamt geschaffen, soweit es im 
Bereich des internationalen Terrorismus tätig wird, nicht 
aber in der für die Strafverfolgung einschlägigen StPO. 
Daraus ergibt sich die eigenartige Situation, dass die Be- 
fugnisse des BKA bei der Gefahrenabwehr weiter gehen 
als diejenigen für die Strafverfolgung. 

Für unzureichend halte ich auch die technischen Lö- 
schungsmechanismen, soweit Inhalte aus dem Kembe- 
reich privater Lebensgestaltung betroffen sind. Diese 
betreffen den intimsten Bereich höchstpersönlicher Kom- 
munikation (z. B. Gespräche mit engsten Vertrauten über 
innere seelische Vorgänge). Derartige Inhalte habe ich in 
den Dateien des Bundeskriminalamts vorgefunden. Deren 
Löschung durfte ich nicht beurteilen, weil dies der Staats- 
anwaltschaft des betreffenden Landes Vorbehalten war. 
Den zuständigen Landesbeauftragten für den Datenschutz 
habe ich informiert. Der Löschungsmechanismus selbst 
war aber vom Bundeskriminalamt zu verantworten. Da- 
nach konnte nur das gesamte Gespräch gelöscht werden, 
nicht jedoch gezielt der entsprechende kembereichsrele- 
vante Teil. 

Das BMF hat meinen Bericht konstruktiv aufgenommen. 
Das BMI hat zu dem Bericht ebenfalls Stellung genom- 
men, es teilt aber meine rechtlichen Bedenken nicht. Es 
sieht allerdings ebenfalls Verbesserungsmöglichkeiten bei 
der Software. 

Bund und Länder arbeiten zurzeit an einer standardisierten 
Leistungsbeschreibung. Diese soll Eckpunkte festlegen 
und gelten, wenn Sicherheitsbehörden eine neue Software 
für Überwachungszwecke beschaffen oder selbst pro- 
grammieren. Ich habe zu den bisher vorliegenden Ent- 
würfen gegenüber dem BMI Stellung genommen. Darin 
halte ich insbesondere an meiner Position fest, dass der 
Quellcode den Datenschutzbehörden künftig bedingungs- 
frei zur Verfügung stehen muss, um die datenschutzrecht- 
liche Kontrolle ausüben zu können. Darüber hinaus sollte 
die Funktionalität der Software klar geregelt sein. Dies 
gilt insbesondere für die Frage, was unter den Begriff der 
laufenden Telekommunikation fällt und was nicht. 

Kasten zu Nr. 7.4.1 


Bei dieser Maßnahme installieren die Ermittlungsbehör- 
den heimlich eine Software auf dem Computer der Ziel- 
person. Kommuniziert diese mit Hilfe des betroffenen 
Computers, werden die entsprechenden Daten an die Er- 
mittlungsbehörden ausgeleitet. Dies betrifft beispiels- 
weise verschlüsselt übertragene Gespräche, für die die 
Zielperson die IP -Telefoniesoftware „Skype“ benutzt. 
Die Maßnahme muss sich auf die laufende Telekommu- 
nikation beschränken. Die von der Polizeibehörde ein- 
gesetzte Software darf also nicht sonstige Inhalte des 
Computers, z. B. gespeicherte Texte, Bilder oder andere 
Dateien an die Polizeibehörde übertragen. Dadurch un- 
terscheidet sich die Quellen-Telekommunikationsüber- 
wachung von der sog. Onlinedurchsuchung. 


7.4.2 Vorfeldmaßnahmen zur Terrorismus- 
bekämpfung 

Die neu geschaffenen Befugnisse zur Abwehr von Gefah- 
ren des internationalen Terrorismus hat das Bundeskrimi- 
nalamt bereits eingesetzt, allerdings nur in wenigen Ver- 
fahren. 

Zum 1 . Januar 2009 hat der Gesetzgeber dem Bundeskri- 
minalamt (BKA) neue Aufgaben und Befugnisse zur Ab- 
wehr von Gefahren des internationalen Terrorismus ein- 
geräumt (§ 4a sowie §§ 20a bis 20t BKAG). Ich habe 
beim BKA angefragt, ob und ggf in welchem Umfang 
dort bereits von diesen Befugnissen Gebrauch gemacht 
wird. 

Das BKA hat mir mitgeteilt, dass bislang nur in wenigen 
Verfahren die neuen Befugnisse ausgeübt wurden. Dabei 
handelt es sich um größere Verfahren, bei denen das BKA 
eine Vielzahl von Maßnahmen durchgeführt hat, von de- 
nen es einen Teil niederschwellig ansieht. Dies gilt insb. 
für die in der Generalklausel zur Datenerhebung, Befra- 
gung, Identitätsfeststellung, Durchsuchung von Personen 
oder Sachen (§§ 20a bis 20f BKAG) vorgesehenen Be- 
fugnisse. Hierzu liegen keine sfatistischen Daten vor. Für 
Maßnahmen nach § 20g bis 20n BKAG hat das BKA mir 
konkrete Zahlen genannt. Besondere Mittel der Daten- 
erhebung (z. B. längerfristige Observation, Abhören des 
nichtöffentlich gesprochenen Wortes außerhalb von Woh- 
nungen) hat das BKA lediglich im zweistelligen Bereich 
eingesetzt, eine etwas höhere Anzahl gab es im Bereich 
der Telekommunikationsüberwachungsmaßnahmen und 
Verkehrsdatenabfragen. Außerdem hat es drei Wohn- 
raumüberwachungen und sechs Onlinedurchsuchungen 
durchgeführt. 

Zu den neu geschaffenen Befugnissen gehört auch die 
sog. Quellen-Telekommunikationsüberwachung. Dazu 
habe ich bereits eine erste datenschutzrechtliche Kon- 
trolle durchgeführt (vgl. Nr. 7.4.1). Zu den übrigen Maß- 
nahmen werde ich die Entwicklung weiter beobachten 
(vgl. auch Nr. 7.4.6). 

7.4.3 Die Löschung erkennungsdienstlicher 
Daten durch das BKA 

Nach heftiger Kritik hat das BKA sein Verfahren bei der 
Löschung erkennungsdienstlicher Daten der Länder im 
polizeilichen Informationssystem grundlegend überarbei- 
tet (22. TB Nr. 16.21). Bei noch bestehenden Problemen 
ist eine Lösung absehbar. 

Das Bundeskriminalamt (BKA) unterstützt als Zentral- 
stelle die Polizeien der Länder bei der Verhütung und Ver- 
folgung bestimmter Straftaten. Hierfür betreibt es mit 
dem polizeilichen Informationssystem (INPOL) einen 
elektronischen Datenverbund zwischen Bund und Län- 
dern der auch zentrale erkennungsdienstliche Sammlun- 
gen umfasst, die sog. E-Gruppe. ln diesen können die 
Landespolizeien z. B. Fingerabdrücke und Lichtbilder 
von Personen speichern. Hatte die Polizeibehörde eines 
Landes das Datum gelöscht, führte dies in der Vergangen- 
heit nicht automatisch auch zur Löschung beim BKA. 
Der Vorgang wurde lediglich als „Besitzaufgabe“ durch 
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das Land angesehen. Diese Vorgehensweise hatte ich kri- 
tisiert (21. TB Nr. 5.2.4. 1). Das mittlerweile geänderte 
Verfahren (22. TB Nr. 16.21) habe ich im Berichtszeit- 
raum kontrolliert. 

Anders als bisher speichert das Bundeskriminalamt die 
von den Ländern gelöschten Daten nur noch dann, wenn 
es über eigene Erkenntnisse verfügt. Praktisch funktio- 
niert dies so: Geben die Länder den Besitz an ihren erken- 
nungsdienstlichen Daten auf, wird dies in einer Liste der 
vom BKA zu bearbeitenden Datensätze aufgenommen. 
Anschließend prüft das BKA anhand der in INPOL und 
in den Papierkriminalakten vorhandenen Erkenntnisse in 
zwei Schritten, ob es die Daten zu der betreffenden Per- 
son weiter speichert oder löscht. Zunächst wird kontrol- 
liert, ob 

- eine nationale oder internationale Fahndung, 

- eine Haftnotierung oder 

- ein Prüfvermerk des BKA 

zur jeweiligen Person vorliegen, ln den verbliebenen Fäl- 
len prüft das BKA Erkenntnisse 

- aus eigenen Ermittlungen sowie 

- aus seiner Kontaktsstellenfunktion zu ausländischen 
Polizeibehörden. 

Liegen keine Gründe für die weitere Speicherung vor, 
löscht das BKA die gesamte Kriminalakte einschließlich 
der erkennungsdienstlichen Daten. Andernfalls verlängert 
es das Aussonderungsprüfdatum. Etwa 80 Prozent der 
aufgelaufenen Daten hat das BKA nach Umstellung auf 
das neue Verfahren gelöscht. 

Diese Vorgehensweise halte ich für datenschutzrechtlich 
zulässig, solange das BKA die von den Ländern gelösch- 
ten erkennungsdienstlichen Daten nur weiter speichert, 
wenn ihm eigene Erkenntnisse vorliegen, die darauf 
schließen lassen, dass der Betroffene künftig Straftaten 
begehen wird (sog. Negativprognose, § 8 Absatz 6 
BKAG). Es gilt der Grundsatz: Die Stelle, die vorhandene 
erkermungsdienstliche Daten übernimmt, muss in jedem 
Einzelfall eine tragfähige rechtliche Entscheidung dafür 
getroffen haben. 

Es bleiben noch Details zu klären. So sind in INPOL die 
verschiedenen Datengruppen auf unterschiedliche Weise 
miteinander verknüpft. Es kann passieren, dass erken- 
nungsdienstliche Daten weiter gespeichert werden, weil 
ein Verbundteilnehmer noch andere Daten zu der Person 
gespeichert hat. Denn die erkennungsdienstlichen Daten 
sind technisch gesehen in die allgemeinen Prüffristen ein- 
bezogen. Hier wird darauf hinzuwirken sein, dass die 
Gruppe der erkennungsdienstlichen Daten ein gesonder- 
tes Aussonderungsprüfdatum erhält, also stärker „abge- 
koppelt“ wird. Dazu hat das BKA bereits ein Verfahren 
entwickelt, das sich derzeit in der Abstimmung befindet. 
Zudem existiert die Idee, ein besonderes Datenfeld einzu- 
führen, mit dem die Polizeibehörden ihren Mitbesitz an 
den erkennungsdienstlichen Daten markieren können. 
Diese müssten dann den Einzelfall rechtlich prüfen und 
entscheiden. Ich werde das Verfahren weiter beobachten. 


7.4.4 Die Zentraldatei „Politisch motivierte 
Kriminalität -links“ - noch viel zu tun! 

Wie eine Kontrolle der Zentraldatei „Politisch motivierte 
Kriminalität -links“ („PMK-links-Z“) ans Licht brachte, 
sind viele personenbezogenen Speicherungen ohne hin- 
reichende Rechtsgrundlage erfolgt. Einen Teil der Daten 
hat das Bundeskriminalamt (BKA) unmittelbar nach der 
Prüfung gelöscht. 

Im Ergebnis hat der Beratungs- und Kontro 11b e such ge- 
zeigt, dass teilweise zu weitgehende Speicherungen in der 
Zentraldatei „PMK-links-Z“ erfolgt sind. Dies betraf oft 
Personen, die im Zusammenhang mit Versammlungen 
aufgefallen waren, ln vielen Fällen war nicht ausreichend 
substantiiert dokumentiert, welche konkreten Handlun- 
gen ihnen vorgeworfen wurden und aus welchen Gründen 
die Speicherung erforderlich war. Für Zwecke der Gefah- 
renvorsorge darf das BKA gern. § 8 Absatz 2 BKAG eine 
Person nur speichern, wenn die die Prognose ergibt, dass 
sie auch zukünftig Straftaten begehen wird. Hierfür be- 
darf es einer ausreichenden Taf Sachengrundlage. 

Die Zentraldatei „PMK-links-Z“ dient dem BKA dazu, 
seine Aufgaben als Zentralstelle bei der Bekämpfung der 
politisch motivierten Kriminalität aus dem Phänomenbe- 
reich Links wahrzunehmen. Hierfür werden in der Datei 
Ereignisse auf einer grafischen Oberfläche mit Personen, 
Institutionen, Objekten und Sachen verknüpft. Daraus 
sollen Rückschlüsse auf Verflechtungen und Zusammen- 
hänge gezogen werden. Personen werden entsprechend 
§ 7 und § 8 BKAG in verschiedene Personenrollen unter- 
teilt, dies sind u. a. : 

- Beschuldigte, 

- Verdächtige, 

- sonstige Personen, 

- Prüffälle. 

ln der Zentraldatei speichert das BKA sowohl eigene als 
auch Ländererkenntnisse, wobei ein wesentlicher Teil der 
Erkenntnisse von den Ländern stammt. 

Bei meiner Kontrolle fiel mir auf, dass bei vielen als Be- 
schuldigte bzw. Verdächtige gespeicherten Personen 
zweifelhaft ist, ob diese überhaupt an einer strafbaren 
Handlung beteiligt waren. Dies betrifft oft Fälle, in denen 
die Betroffenen Teil einer größeren Menschenmenge wa- 
ren und nicht näher einer bestimmten Tätergruppe zuge- 
ordnet werden konnten, ln solchen Fällen müssen jedoch 
tatsächliche Anhaltspunkte vorliegen, aus denen sich er- 
gibt, weshalb eine festgestellte Person zum Täterkreis ge- 
hört bzw. ein entsprechender Verdacht hinsichtlich einer 
konkreten Straftat begründet werden kann. Grund für den 
unzureichenden Personenbezug war häufig auch die Form 
der Sachverhaltsdarstellung durch die Landespolizeien. 

Im Zusammenhang mit der Speicherung von Veranstal- 
tungsteilnehmem ist besonders auf die Verhältnismäßigkeit 
achten, wie das Bundesverfassungsgericht in einer aktuel- 
len Entscheidung festgestellt hat (- 1 BvR 388/05 -), ge- 
nießen auch Sitzblockaden grundsätzlich den Schutz der 
durch Artikel 8 des GG garantierte Versammlungsfrei- 
heit. Bei der Anwendung des Nötigungsparagraphen ist 
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nach Auffassung des Gerichts in solchen Fällen eine äu- 
ßerst differenzierte Betrachtung geboten (§ 240 Strafge- 
setzbuch). Ich sehe mich daher in meiner Einschätzung 
zur Zentraldatei „IgaSt“ bestätigt, wonach auch provo- 
kante Formen des Protests grundgesetzlich geschützt sind 
und daher die Teilnehmer nicht ohne Weiteres gespeichert 
werden dürfen (23. TB Nr. 7.2.2). 

Ich habe auch festgestellt, dass Anmelder von Versamm- 
lungen als. „sonstige Personen“ in der Zentraldatei ge- 
speichert waren. Bei „sonstigen Personen“ müssen be- 
stimmte Tatsachen die Annahme rechtfertigen, dass sie in 
Zukunft Straftaten von erheblicher Bedeutung begehen 
werden (§ 8 Absatz 5 BKAG). ln keinem der von mir ge- 
prüften Fälle lagen jedoch solche Tatsachen vor. Selbst 
Anmelder von Versammlungen, die in der Vergangenheit 
friedlich verliefen, wurden gespeichert. Ich habe das 
BKA auf Grund des gravierenden Verstoßes gegen daten- 
schutzrechtliche Vorschriften unmittelbar nach der Kon- 
trolle um sofortige Überprüfung der Speicherungen gebe- 
ten. Das BKA teilte mir daraufhin mit, die betreffenden 
Dateien seien in der Zwischenzeit nahezu vollständig ge- 
löscht worden. 

ln der Zentraldatei werden auch sog. Prüffälle erfasst. 
Das BKA beruft sich hierbei auf die Generalklausel des 
§ 7 Absatz 1 BKAG. Hierbei handelt es sich aber nur um 
eine Auffangvorschrifl, mit deren Hilfe nicht die beson- 
deren Vorschriften für die Speicherung zur Gefahrenvor- 
sorge ausgehöhlt werden (§ 8 BKAG) dürfen. Bereits in 
der Vergangenheit habe ich mehrfach die Speicherung als 
Prüffall kritisiert. Sie führt dazu, dass Personen in den Fo- 
kus von Ermittlungen geraten, die an der Begehung von 
Straftaten nicht beteiligt oder gegebenenfalls nur zufällig 
anwesend sind (vgl. 22. TB Nr. 4.2.4). Durch die Kon- 
trolle hat sich meine kritische Haltung bestätigt. Speiche- 
rungen zur Gefahrenvorsorge nach der Auffangvorschrift 
§ 7 Absatz 1 i. V. m. § 2 Absatz 1 BKAG sind nur tolera- 
bel, wenn die Personen nur für kurze Zeit erfasst werden. 
Dies darf lediglich geschehen, um die Voraussetzungen 
des § 8 Absatz 2 bzw. Absatz 5 BKAG prüfen zu können, 
etwa wenn das BKA zunächst ergänzende Informationen 
bei anderen Polizeibehörden einholen muss. 

Um die o. g. Fehler zukünftig zu vermeiden kommt der 
Errichtungsanordnung der Zentraldatei eine wichtige 
Konkretisierungsfunktion zu (vgl. auch Nr. 7.4.5). 

Die vom BKA festgelegten Aussonderungsprüffristen in 
der Zentraldatei „PMK-links-Z“ waren teils zu lang und 
nicht für jedes Ereignis gesondert festgelegt. Grund hier- 
für isf eine technische Einstellung in der Zentraldatei. Er- 
kenntnisse, die das BKA dort speichert, werden aus dem 
Vorgangsbearbeitungssystem des BKA bzw. dem polizeili- 
chen Informationssystem (INPOL) entnommen. Die 
Zentraldatei übernimmt aus diesen beiden Systemen auch 
automatisch das dort festgelegte höchste Aussonderungs- 
prüfdatum. Daher muss in der Zentraldatei „PMK-links-Z“ 
zu einer Person jedes Ereignis manuell mit einem eigenen 
Aussonderungsprüfdatum versehen werden. Dies ist je- 
doch nicht durchgehend geschehen, so dass alte, nicht 
mehr erforderliche Daten weiterhin gespeichert blieben. 

Bei meiner Kontrolle fiel mir auch auf, dass im Vorgangs- 
bearbeitungssystem zu einer gespeicherten Person ein 


von ihr unabhängiges Dokument eingestellt war. Darin 
wurde eine Veranstaltung einer angesehenen internationa- 
len Menschenrechtsorganisation beschrieben, obwohl 
keine Straftaten oder sonstige Störungen der öffentlichen 
Sicherheit registriert worden sind. Sogar der Anmelder 
der Veranstaltung war namentlich erkennbar. Ich habe mir 
die Frage gestellt, aus welchem Grund die Landespolizei 
die Informationen an das BKA übermittelt hat und den 
zuständigen Landesbeauftragten für den Datenschufz in- 
formiert. 

Schließlich müssen auch Gerichtsentscheidungen, wie 
z. B. ein Freispruch, im Sinne von § 8 Absatz 3 BKAG, 
zur Löschung aus der Datei führen. Insfitutionen, die vom 
BKA Daten erhalten haben, sind hierüber zu informieren. 
Problematisch ist allerdings, dass das BKA oftmals selbst 
keine Information von den Staatsanwaltschaften der Län- 
der über den Ausgang von Verfahren (insb. Entscheidun- 
gen über die Einstellung von Verfahren, Urteile) erhält. 
Es kann daher diese Informationen auch nicht an andere 
Behörden kommunizieren. Hier sehe ich vor allem die 
Staatsanwaltschaften und Polizeien der Länder in der 
Pflicht, durch bessere Kommunikation mit dem BKA die 
Rechte der Betroffenen zu stärken. Aus meiner Sicht 
könnte hier zudem gesetzgeberischer Handlungsbedarf 
bestehen. Schon das Bundesverwaltungsgericht hat bei 
seiner Entscheidung über die Datei „Gewalttäter Sport“ 
auf Defizite in diesem Bereich hingewiesen. 

Ich habe mir nach der Kontrolle verschiedene Beanstan- 
dungen Vorbehalten. Das BKA hat bis zum Redaktions- 
schluss noch nicht abschließend zu meinem Kontrollbe- 
richt Stellung genommen. Ich werde die dargestellten 
Sachverhalte weiter im Auge behalten. 

7.4.5 Weiterentwicklung der polizeilichen 
Dateienlandschaft 

Das polizeiliche Informationssystem (INPOL) wird stetig 
weiterentwickelt. Grundlegend wird der derzeit noch ge- 
plante polizeiliche Informations- und Analyseverbund 
(PIAV) die Dateienlandschaft verändern. 

Mit dem Polizeilichen Informations- und Analyseverbund 
(PIAV) soll neben INPOL (vgl. Kasten zu Nr. 7.4.5) ein 
weiteres, eigenständiges Verbundsystem geschaffen wer- 
den. Ich mahne hier zur Vorsicht. Ein solcher umfassen- 
der Verbund birgt die Gefahr, die gegenwärtigen rechtli- 
chen Grenzen zu überschreiten. Diese Grenzen sind auch 
von verfassungsrechtlicher Bedeutung. Wie das geplante 
System genau ausgestaltet werden wird, ist derzeit noch 
nicht abschließend geklärt. Aus den bislang vorliegenden 
Planungen ergibt sich jedoch: Das System wird einen sehr 
großen Datenbestand enthalten. Angedacht sind zudem 
umfassende Auswerte- und Analysemöglichkeiten. Diese 
sind jedoch bis zum Redaktionsschluss nur unscharf be- 
schrieben. Folgende Eckpunkte sind aus Datenschutzsicht 
besonders wichtig: 

- Das Verhältnis zwischen dem zentralen Verbundsys- 
tem INPOL und PIAV ist grundlegend klärungsbe- 
dürftig. Durch den parallelen Betrieb zweier Verbund- 
systeme besteht die Gefahr einer Doppelspeicherung 
mit voneinander abweichenden Daten und Fristen. 
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- PIAV dient nach meiner ersten Einschätzung vor allem 
der Ge fahren Vorsorge bzw. der vorbeugenden Be- 
kämpfung von Straftaten und darf die dafür geltenden 
besonderen Schwellen für die Speicherung nicht un- 
terlaufen. Diese Schwellen sind im Bundeskriminal- 
amtgesetz festgelegt. Die Speicherung der Daten von 
Beschuldigten und Tatverdächtigen setzt danach eine 
täter- bzw. tatbezogene Einzelprognose voraus (sog. 
Negativprognose). Die Daten sind erforderlich, wenn 
wegen der Art oder Ausführung der Tat, der Persön- 
lichkeit des Betroffenen oder sonstiger Erkenntnisse 
Grund zu der Annahme besteht, dass Strafverfahren 
gegen den Beschuldigten oder Tatverdächtigen zu 
führen sind. Stets muss eine hinreichende Tatsachen- 
grundlage vorliegen, um eine derartige Negativpro- 
gnose vorzunehmen. Für Kontakt- und Begleitperso- 
nen, Zeugen, Opfer und sonstige Personen legt das 
Gesetz engere Grenzen fest. 

- Der Umfang der zu speichernden Daten ist ebenfalls 
klärungsbedürftig. Die Rechtsverordnung über die Ar- 
ten von Daten, die das BKA als Zentralstelle speichern 
darf, sieht entsprechende Grenzen vor (vgl. 23. TB 
Nr. 7.2.1). Dies schließt größtenteils aus, Volltextdo- 
kumente zur Gefahrenvorsorge in zentrale Verbundda- 
teien zu übernehmen. Besonders kritisch sehe ich es, 
wenn die Recherche- und Analysefunktionen die Su- 
che in Dateianhängen umfassen (vgl. dazu auch die 
Entschließung der 80. Konferenz der Datenschutzbe- 
auftragten des Bundes und der Länder, abgedruckt in: 
23. TB Kasten zu Nr. 7.5.1). 

Ich habe das Bundeskriminalamt um Stellungnahme ge- 
beten. Diese lag bis Redaktionsschluss noch nicht vor. 

Die Speicherung sog. personengebundener Hinweise 
(PHW) im INPOL- Verbund beschäftigt die Datenschutz- 
beauftragten des Bundes und der Länder schon seit lan- 
gem. Die PHW dienen der Eigensicherung, teilweise aber 
auch dem Schutz der Betroffenen. Polizeibeamte sollen 
zum Beispiel rechtzeitig gewarnt werden, wenn eine Per- 
son als bewaffnet bekannt oder freitodgefährdet ist. Hier- 
bei handelt es sich oft um sensible personenbezogene Da- 
ten. Sie können sich u. a. auf Krankheiten beziehen (z. B. 
„Ansteckungsgefahr“). Die Datenschutzbeauftragten ha- 
ben immer wieder darauf gedrängt, klare Kriterien zu 
schaffen. Diese müssen festlegen, welche PHW die Poli- 
zeibehörden geben dürfen, und klar bestimmen, unter 
welchen Voraussetzungen dies geschehen darf Das Bun- 
deskriminalamt hat in Zusammenarbeit mit den Ländern 
nun einen Leitfaden erarbeitet. Dieser legt die Speicher- 
kriterien nun ausführlicher fest. Vergibt eine Polizeibe- 
hörde einen PHW, muss sie die Gründe dafür dokumen- 
tieren. Ich hätte mir allerdings gewünscht, dass auch klare 
Kriterien für eigenständige Laufzeiten der PHW festge- 
legt worden wären. Dies ist nicht der Fall, obwohl INPOL 
richtigerweise ein eigenes Feld für das Aussonderungs- 
prüfdatum von PHW enthält. Aktuell ist eine weitere Ent- 
wicklung geplant. Neben den Hinweisen zur Eigensiche- 
rung sind sog. ermittlungsrelevante Hinweise (EHW) 
vorgesehen. Dies werde ich beobachten. Insbesondere 


wird der Zweck dieser Hinweise und deren Abgrenzung 
zu den PHW zu klären sein. 

Bei den Errichtungsanordnungen des Bundeskriminal- 
amts fällt auf, dass diese zu einzelnen Punkten oft nur den 
Gesetzeswortlaut wiedergeben. Damit beschreiben sie 
nach meiner Auffassung vor allem den Kreis der zu spei- 
chernden Personen nur unzureichend. Die Errichtungs- 
anordnung soll gerade dazu dienen, das Gesetz zu kon- 
kretisieren. Der Bearbeiter muss klar entscheiden können, 
ob er eine Person in der jeweiligen Datei speichern darf 
oder nicht. 

Mit dem Bundesministerium des Innern und dem Bundes- 
kriminalamt konnte eine Verfahrensweise gefünden wer- 
den, mit der die Arbeitsgruppe INPOL der Datenschutz- 
beauftragten des Bundes und der Länder bei der 
Weiterentwicklung der polizeilichen Verbundsysteme be- 
teiligt wird. Das begrüße ich sehr. 

Kasten zu Nr. 7.4.5 


INPOL 

Das polizeiliche Informationssystem INPOL ist ein 
elektronischer Datenverbund zwischen Bund und Län- 
dern. Das Bundeskriminalamt ist die Zentralstelle dieses 
Verbundes. 

INPOL besteht aus verschiedenen Dateien. Zu den 
wichtigsten zählen: der Kriminalaktennachweis - KAN, 
die Personenfahndung, die Sachfahndung, die Haftdatei, 
der Erkennungsdienst, die DNA-Analyse-Datei. 

An dem Informationssystem sind neben dem Bundeskri- 
minalamt und den Landeskriminalämtem sonstige Poli- 
zeibehörden der Länder, die Bundespolizei sowie die 
mit der Wahrnehmung grenzpolizeilicher Aufgaben be- 
trauten Behörden der Zollverwaltung und das ZKA mit 
dem Recht beteiligt, Daten in das System im automati- 
sierten Verfahren einzugeben und daraus abzurufen. 

ln INPOL werden polizeilich relevante Angaben über 
Straftäter, Beschuldigte, Verdächtige, potenzielle Straf- 
täter, aber auch von Kontakt- und Begleitpersonen, Zeu- 
gen, Hinweisgebem, Opfern und vermissten Personen 
gespeichert. 


7.4.6 Funkzellenabfragen 

Auch beim BKA sind Daten von Funkzellenabfmgen ge- 
speichert. 

Beim Bundeskriminalamt (BKA) habe ich nachgefragt, in 
welchem Umfang es Funkzellenabfragen (vgl. Kasten zu 
Nr. 7.4.6; Entschließung der Datenschutzbeauftragten des 
Bundes und der Länder vom 27. Juli 2011) durchgeführt 
und in welchem Umfang es Daten aus solchen Maßnah- 
men gespeichert hat. Es hat mir sehr ausführlich geant- 
wortef, weshalb ich eine ursprünglich geplante daten- 
schutzrechtliche Kontrolle zunächst verschoben habe. 
Gleichzeitig hat mich das Bundeskriminalamt um daten- 
schutzrechtliche Beratung in Bezug auf die Speicherung 
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von Daten aus Funkzellenabfragen in verschiedenen Da- 
teien gebeten, die es im Laufe aktueller Ermittlungen in 
einem Großverfahren angelegt hat. Diese Beratung dauert 
noch an. Das BKA speichert Daten aus Funkzellenabfra- 
gen u. a. in verschiedenen Amtsdateien, die dazu dienen, 
einzelne Ermittlungsverfahren zu bearbeiten. Einige 
dieser Dateien enthalten eine größere Menge von Ver- 
kehrsdaten, die zum Großteil bereits von Landespolizei- 
behörden erhoben worden sind, bevor das BKA die Er- 
mittlungen übernommen hat. Diese Daten werden erst 
nach Abschluss des jeweiligen Ermittlungsverfahrens ge- 
löscht. Dies ist regelmäßig erst nach einem rechtskräfti- 
gen Urteil oder einer endgültigen Einstellung der Fall. 
Das BKA weist darauf hin, dass dies für das jeweilige 
Verfahren von der zuständigen Staatsanwaltschaft zu ent- 
scheiden ist. 

Der Sächsische Datenschutzbeauftragte hatte mich im Rah- 
men seiner Ermittlungen zur Funkzellenabfrage gebeten. 


einige Informationen zu den übermittelten Daten bei den 
Netzbetreibem abzufragen. Das Ergebnis fiel wie erwartet 
aus: Nur bei Telekommunikationsvorgängen werden Daten 
erfasst und werden nur die Verkehrsdaten ohne Bestands- 
daten übermittelt. Insofern war ich sehr überrascht, als 
mich mein sächsischer Kollege kurz darauf darüber infor- 
mierte, dass ein Mobilfünknetzbetreiber 2009 auch in er- 
heblichem Umfang Bestandsdaten bei den Funkzellenan- 
fragen übermittelt hätte. Auf meine Rückfrage bestätigte 
das Unternehmen dies. Erst bei der Umsetzung der Ent- 
scheidung des Bundesverfassungsgerichts zur Vorratsda- 
tenspeicherung 2010 seien durch eine Verfahrensänderung 
keine Bestandsdaten mehr bei Verkehrsdatenabfragen 
übermittelt worden. Erstaunlicherweise konnte das Unter- 
nehmen nicht klären, seit wann die Bestandsdaten unaufge- 
fordert mit übermittelt worden sind. Zumindest seit 2005 
wäre dies so praktiziert worden. Ich habe deshalb gegen 
das Unternehmen eine formale Beanstandung gegenüber 
der Bundesnetzagentur ausgesprochen. 

Kasten zu Nr. 7.4.6 


Entschließung der Datenschutzbeauftragten des Bundes und der Länder vom 27. Juli 2011 
Funkzellenabfrage muss eingeschränkt werden! 

Die Strafverfolgungsbehörden in Dresden haben mit einer sog. Funkzellenabfrage anlässlich von Versammlungen und 
dagegen gerichteter Demonstrationen am 19. Februar 2011 Hunderttausende von Verkehrsdaten von Mobilfunkverbin- 
dungen erhoben, darunter die Rufnummern von Anrufern und Angerufenen, die Uhrzeit sowie Angaben zur Funkzelle, 
in der eine Mobilfünkaktivität stattfand. Dadurch sind zehntausende Versammlungsteilnehmerinnen und Versammlungs- 
teilnehmer, darunter Abgeordnete von Landtagen und des Deutschen Bundestages, Rechtsanwältinnen und Rechtsan- 
wälte, sowie Journalistinnen und Journalisten in Ausübung ihrer Tätigkeit, aber auch Anwohnerinnen und Anwohner 
der dicht besiedelten Dresdener Innenstadt, in ihrer Bewegung und ihrem Kommunikationsverhalten erfasst worden. 

Dieser Vorfall verdeutlicht die Schwäche der gesetzlichen Regelung. 

Rechtsgrundlage der nichtindividualisierten Funkzellenabfrage ist bisher § 100g Absatz 2 S. 2 StPO, wonach im 
Falle einer Straftat von erheblicher Bedeutung eine räumlich und zeitlich hinreichend bestimmte Bezeichnung der Te- 
lekommunikation ausreichend sein soll, um Verkehrsdaten bei den Telekommunikationsdiensteanbietem erheben zu 
dürfen. Diese Aussage wird mit einer allgemeinen Subsidiaritätsklausel verknüpft. Diese 2001 in die Strafprozessord- 
nung eingefügte Regelung ist unzureichend, da sie weder hinreichend bestimmt ist noch den heutigen technischen 
Gegebenheiten entspricht. Aktuelle Geräte erzeugen durch ihren Datenverkehr ohne aktives Zutun des Besitzers eine 
Vielzahl von Verkehrsdaten, die später in einer Funkzellenabfrage erhoben werden können. 

Die Funkzellenabfrage ist ein verdeckter Eingriff in das Femme Idegeheimnis (Artikel 10 GG). Sie richtet sich unter- 
schiedslos gegen alle in einer Funkzelle anwesenden Mobilftmkgerätebesitzer, nicht nur - wie etwa eine Telekommu- 
nikationsüberwachung nach § 100a StPO - gegen bestimmte einzelne Tatverdächtige. Sie offenbart Art und Um- 
stände der Kommunikation von u. U. Zehntausenden von Menschen, die selbst keinen Anlass für einen sfaatlichen 
Eingriff gegeben haben. Sie schafft damit des Weiteren die Möglichkeit, diese Personen rechtswidrig wegen Nicht- 
Anlasstaten, etwa Verstößen gegen das Versammlungsgesetz, zu verfolgen. Sie ist bezogen auf einzelne Personen ein 
Instmment der Verdachtsgenerierung. Die Strafprozessordnung regelt nicht näher, wie die Behörden mit den erhobe- 
nen Daten umzugehen haben, insbesondere nicht, über welche Zeiträume, zu welchen Personen und in welchen ande- 
ren Zusammenhängen die erhobenen Daten polizeilich weiter verwendet werden dürfen. 

Das Bundesverfassungsgericht hat stets betont, dass die Erhebung von Verkehrsdaten erhebliche Rückschlüsse auf 
das Kommunikationsverhalten zulässt. Verkehrsdaten können das soziale Netz des Betroffenen widerspiegeln; allein 
aus ihnen kann die Verbindung zu Parteien, Gewerkschaften oder Bürgerinitiativen deutlich werden. 

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder fordert daher den Bundesgesetzgeber auf, 
den Anwendungsbereich für eine nichtindividualisierte Funkzellenabfrage einzuschränken, dem Gmndsatz der Ver- 
hältnismäßigkeit zu stärkerer Beachtung in der Praxis zu verhelfen, das Erforderlichkeitsprinzip zu stärken (etwa 
durch die Pflicht zur unverzüglichen Reduziemng der erhobenen Daten auf das zur Strafverfolgung oder gerichtli- 
chen Auseinandersetzung Erforderliche) sowie die Löschungsvorschrift des § 101 Absatz 8 StPO zu präzisieren. 
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7.4.7 Öffentlichkeitsfahndung im Internet 

Die Konferenz der Datenschutzbeauftragten des Bundes 
und der Länder hat sich mit der Öffentlichkeitsfahndung 
im Internet, insbesondere in sozialen Netzwerken be- 
schäftigt. Auch das Bundeskriminalamt betreibt eine 
Fahndungsseite bei „Facebook“. 

Zahlreiche Behörden von Bund und Ländern betreiben ei- 
gene Websites, einige haben eine „Fanpage“ bei Facebook 
(vgl. Nr. 5.8.2.). Für Diskussionen sorgten dabei besonders 
Polizeibehörden, die das soziale Netzwerk zu Fahndungs- 
ausschreibungen einsetzen. Die Öffentlichkeitsfahndung 
greift besonders intensiv in die Persönlichkeitsrechte der 
Betroffenen ein. Im Internet werden Informationen welt- 
weit einem unbeschränkten Empfängerkreis bekannt ge- 
geben. Nach derzeitigem Stand ist ein „Rückholen“ der 
im Internet verbreiteten Informationen unmöglich. Daher 
ist eine Öffentlichkeitsfahndung im Internet stets Ultima 
Ratio. Sie kommt nur bei besonders schwerwiegenden 
Delikten in Betracht. Besonders kritisch wäre es, wenn im 
Internet nicht nur nach Verdächtigen sondern auch nach 
Zeugen gefahndet würde. Die dort veröffentlichten Infor- 
mationen sind stets auf das Notwendigste zu beschrän- 
ken. Äußerst bedenklich ist auch, wenn Hinweise aus der 
Bevölkerung im Intemetauftritt der Ermittlungsbehörde 
öffentlich einsehbar sind (z. B. in Foren, Chats, sozialen 
Netzwerken o. Ä.). Werden auf diese Weise Verdachts- 
momente veröffentlicht, belastet dies den Betroffenen 
sfefs in unangemessener Weise, insbesondere, wenn sich 
später seine Unschuld herausstellt. 

Das BKA betreibt eine Fanseite bei „Facebook“. Es zeigt 
dabei aber große Zurückhaltung, denn bislang hat es diese 
Seite nur in dem Ermittlungsverfahren gegen Mitglieder 
des „Nationalsozialistischen Untergrunds (NSU)“ ge- 
nutzt. Dabei geht es um besonders schwerwiegende De- 
likte. Bei Facebook-Fahndungen sind jedoch nicht nur die 
besonderen strafprozessualen Anforderungen zu beach- 
ten. Vor allem ist zu fragen, wie mit den Daten derjenigen 
umgegangen wird, die das Angebot aufrufen (Nutzerda- 
ten). Das BKA hat Maßnahmen getroffen, um die daten- 
schutzrechtlichen negativen Auswirkungen zu begrenzen. 
Deaktiviert sind Pinnwand- und Teilenfunktion in den 
Fahndungsaufrufen und das Senden von Nachrichten. Zu 
den eigentlichen Fahndungen verlinkt die Facebook-Seite 
auf die Website des BKA, enthält also nicht selbst die 
Fahndungsinformation. Dadurch werden zwar die Daten 
der Besucher minimiert. Allerdings kann so nicht verhin- 
dert werden, dass Cookies gesetzt und über den „Gefällt- 
mir“-Knopf IP-Adressen an Facebook übertragen wer- 
den. Auch ungefragt wird die Nutzungsanalyse mit Hilfe 
von „Facebook Insights“ durchgeführt. 

Die Konferenz der Datenschutzbeauftragten des Bundes 
und der Länder hat gegenüber der Innenministerkonfe- 
renz und der Justizministerkonferenz in einem Schreiben 
auf wesentliche Eckpunkte hingewiesen: 

- Die Polizeibehörden müssen vorrangig prüfen, ob sie 
eigene Intemetseiten schalten können, bevor sie so- 
ziale Netzwerke in Anspruch nehmen. 


- Falls sie dies nicht für ausreichend erachten, müssen 
sie einen Betreiber auswählen, der deutsches Daten- 
schutzrecht einhält. 

- Die jeweilige Polizeibehörde bzw. Staatsanwaltschaft 
muss ihre datenschutzrechtliche Verantwortung wahr- 
nehmen können (Herrin des Verfahrens). Dies gilt 
sowohl für die Ersfveröffentlichung des Fahndungs- 
aufrufs als auch für die weitere Behandlung (z. B. Lö- 
schung). Es muss vollständig erkennbar sein, welche 
Daten der Anbieter des Netzwerks verarbeitet. 

7.4.8 Darf das BKA bei datenschutz- 
rechtlichen Auskunftsersuchen 
Ausweiskopien verlangen? 

Das Bundeskriminalamt verlangt für Auskünfte an die Be- 
troffenen eine beglaubigte Ausweiskopie. Dies ist nicht zu 
beanstanden. 

Jeder Bürger hat einen Auskunftsanspruch über zu seiner 
Person beim Bundeskriminalamt (BKA) gespeicherte Da- 
ten. Das BKA verlangt hierfür eine beglaubigte Kopie des 
Personalausweises oder Reisepasses der Betroffenen. Es 
lässt auch eine polizeilich bestätigte Kopie der o. g. Aus- 
weise als Nachweis gelten. Diesen Nachweis erhalten 
Betroffene bei ihrer örtlichen Polizeidienststelle. Dort 
können Betroffene zu den täglichen Bürozeiten von ihren 
o. g. Ausweisdokumenten eine Kopie und das Original 
vorlegen und sich ihre Identität auf der Kopie von der 
Polizei bestätigen lassen. Nur die Polizeidienststellen in 
Berlin vergeben diesen Nachweis nicht. Da das Bundes- 
kriminalamt nicht alle Merkmale des Ausweises zur Iden- 
tifizierung benötigt, können die Seriennummer und das 
Passbild geschwärzt werden. Ich habe dieses Verfahren 
akzeptiert, da es dem Nachweis der Identität von Betrof- 
fenen und der Vermeidung von Verwechslungen dient. 
Dadurch soll auch vermieden werden, dass sensible Da- 
ten unter Umständen an Personen versandt werden, die zu 
deren Empfang nicht berechtigt sind. Das BKA darf diese 
Ausweiskopien nicht dauerhaft aufbewahren und nur zu 
dem Zweck verwenden, zu dem sie angefordert worden 
sind. 

Zukünftig könnten Betroffene ggf auch mittels der elD- 
Funktion des neuen Personalausweises (vgl. Nr. 8.5) ge- 
genüber Behörden ihre Identität nachweisen; Ausweisko- 
pien und andere Identitätsnachweise wären dann nicht 
mehr erforderlich. Soweit ist das BKA aber noch nicht. 

7.4.9 Forschungsdaten 

Das Bundeskriminalamt möchte Fingerabdruckdaten für 
ein Forschungsprojekt weitergeben und hat mich um da- 
tenschutzrechtliche Beratung gebeten. 

Bevor das Bundeskriminalamt (BKA) Fingerabdruckda- 
ten für Forschungszwecke weifergab, hat es sich mit mir 
in Verbindung gesetzt. Gemeinsam konnten wir eine da- 
tenschutzgerechte Lösung finden. 

Fingerabdruckdaten sind personenbezogene Daten. Dies 
gilt auch dann, wenn sie nicht mit weiteren, identifizieren- 
den Daten verbunden sind (z. B. Personennamen). Denn 
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Fingerabdruckdaten dienen schon für sich genommen der 
Identifizierung einer Person. Sie sind - im wahrsten 
Sinne des Wortes - nicht von der Person trennbar. Daher 
muss das BKA datenschutzrechtliche Anforderungen 
auch dann beachten, wenn es reine Fingerabdruckdaten 
weitergibt, ohne sonstige Angaben. 

Nach den Vorschriften des Bundeskriminalamtgesetzes 
(BKAG) kann das Amt personenbezogene Daten für For- 
schungszwecke übermitteln (§ 29 BKAG). Diese setzt 
insbesondere voraus, dass das Forschungsinteresse das 
schutzwürdige Interesse der Betroffenen erheblich über- 
wiegt. Bei dieser Abwägung war zu berücksichtigen, dass 
sich das BKA nach Diskussion mit mir für die For- 
schungsarbeit ein besonderes Verfahren überlegt hatte. 
Die Daten sollen den Forschem nämlich nur innerhalb der 
Räume des BKA zur Verfügung gesfellt werden. Auf 
Rechnern, die das BKA bereitgesfellt hat und die von 
Technikern des BKA kontrolliert werden, können die 
Forscher die Daten auswerten. Nur die abstrakten For- 
schungsergebnisse ohne Personenbezug werden den For- 
schem am Ende übergeben. Damit trägt das Verfahren 
den schutzwürdigen Interessen der Betroffenen sehr weit- 
gehend Rechnung, denn die Risiken für sie werden mini- 
miert. Auf diese Weise kann das Forschungsvorhaben da- 
tenschutzkonform durchgeführt werden. 

7.5 Zoll 

7.5.1 Beschäftigtenscreenings bei der AEO- 

Zertlflzlerung der Zollverwaltung 

Das von den Zollverwaltungen häufig ohne konkreten An- 
lass angeordnete Beschäftigtenscreening bei der sog. 
AEO-Zertifiizierung (AEO - Authorised Economic Opera- 
tor = zugelassener Wirtschaftsbeteiligter) erweist sich 
weiterhin als problematisch. Auch eine aktuelle Entschei- 
dung des Bundesfinanzhofs (BFH) räumt diese Bedenken 
nicht aus. 

Die AEO-Zertifiziemng soll die Zollabfertigung erleich- 
tern. Betroffen sind in der Europäischen Union ansässige, 
im grenzüberschreitenden Warenverkehr tätige Unterneh- 
men. Ein AEO-Zertifikat „Zollrechtliche Vereinfachun- 
gen/Sicherheit“ (das sog. AEO-F -Zertifikat) kann jedem 
in der Europäischen Union niedergelassenen Wirtschafls- 
beteiligten auf Antrag erteilt werden, der die Kriterien zur 
Einhaltung der Zollvorschriften - angemessene Fühmng 
seiner Geschäftsbücher, Zahlungsfähigkeit und angemes- 
sene Sicherheitsstandards - erfüllt. 

Im Rahmen der AEO-Zertifiziemng verlangen die Zoll- 
verwaltungen von den Unternehmen umfangreiche Be- 
schäftigtenscreenings, teilweise sogar wiederholt und in 
sehr kurzen Abständen, was ich bereits mehrfach kriti- 
siert habe (vgl. z. B. 23. TB Nr. 13.7). Dabei werden die 
Bediensteten des antragstellenden Wirtschaftsbeteiligten 
einer Sicherheitsüberprüfung durch Abgleich mit den 
sog. Antiterrorlisten unterzogen. Der Abgleich erfolgt an- 
hand der in den EG-Antiterrorverordnungen (Verordnun- 
gen [EG] Nummer 2580/2001 und Nummer 881/2002) 
genannten Sanktionslisten (Namenslisten von Personen, 
die im Verdacht stehen, Mitglied einer terroristischen 


Vereinigung zu sein). Die den EG- Verordnungen zu 
Grande liegenden UN-Terrorlisten sind aber aus rechts- 
staatlicher Perspektive bedenklich, da ihr Zustandekom- 
men intransparent ist und die Listung nur eingeschränkt 
gerichtlich überprüft werden kann (vgl. EuGH, Urteile 
vom 15. November 2012, Rs. C-539/10; C-550/10 P; 
C-417/11 P). Wegen dieser Fehleranfälligkeit und den 
gravierenden Folgen, die bei einem Treffer für den Be- 
troffenen eintreten können, sind verfahrensrechtliche Si- 
cherungen in Form von datenschutzrechtlichen Betroffe- 
nenrechten unerlässlich. 

Im Frühjahr 2011 habe ich die Praxis eines Hauptzollam- 
tes (HZA) bei der Erteilung des o. g. AEO-F-Zertifikats 
geprüft und beanstandet. Dort wurde das Zertifikat nur 
bewilligt, wenn die antragstellenden Unternehmen den 
Nachweis über einen regelmäßigen systematischen Ab- 
gleich aller Beschäftigten mit den sog. EG-Antiterrorlis- 
ten erbracht hatten. Mit dieser Praxis hatte das HZA 
gegen Nr. 253 der Dienstanweisung „Zugelassener Wirt- 
schaftsbeteiligter - AEO“ vom 22. Juni 2010 verstoßen, 
mit der die Überprüfung auf Beschäftigte in sicherheits- 
relevanten Bereichen begrenzt wird, und damit zugleich 
den Grundsatz der Verhältnismäßigkeit verletzt. Nach 
Mitteilung seiner Aufsichtsbehörde, des Bundesministe- 
riums der Finanzen, hat die geprüfte Behörde den Fehler 
inzwischen eingeräumt und behoben. 

Mit dem Beschluss vom 22./23. November 2011 setzt 
sich auch das Koordinierangsgremium der obersten Auf- 
sichtsbehörden für den Datenschutz im nicht öffentlichen 
Bereich (Düsseldorfer Kreis) für eine wirksame Begren- 
zung des Beschäftigtenscreenings ein und fordert Daten- 
screenings in Unternehmen nicht pauschal und anlasslos 
durchzuführen (vgl. Kasten zu Nr. 7.5.1). 

Inzwischen liegt mit dem Urteil des BFH (Urteil vom 
19. Juni 2012, VllR 43/11) die erste höchstrichterliche 
Klärung einiger Streitpunkte zum Thema Beschäftigten- 
screening vor, die gleichwohl aus datenschutzrechtlicher 
Perspektive nicht überzeugt. Denn der BFH kommt in 
seiner Entscheidung zu dem Ergebnis, der datenschutz- 
rechtliche Erlaubnistatbestand des § 32 Absatz 1 Satz 1 
BDSG ermögliche es, einen Abgleich der personenbezo- 
genen Daten der Bediensteten des Arbeitgebers, der sich 
um ein AEO-Zertifikat bemüht, mit den Antiterrorlisten 
durchzuführen. Zwar haf der BFH das Screening auf Be- 
schäftigte begrenzt, die im sicherheitsrelevanten Bereich 
eingesetzt werden oder werden sollen. Dennoch wird da- 
durch meine Kritik an den von Zollverwaltungen ohne 
konkreten Anlass angeordneten pauschalen, massenhaf- 
ten Beschäftigtenscreenings nicht ausgeräumt, denn es 
bestehen bereits grundlegende Zweifel an dem Verfahren. 
So halte ich es für fragwürdig, ob die untemehmensinter- 
nen Abgleiche angesichfs der unbaren Gehaltszahlungen 
einen zusätzlichen Beitrag zur Terrorbekämpfung leisten 
können, obgleich schon die Banken nach § 25c Kreditwe- 
sengesetz Abgleiche ihrer Kundendaten mit den Antiter- 
rorlisten vornehmen. Schließlich mangelt es für diesen 
Massendatenabgleich an einer tragfähigen Rechtsgrund- 
lage. Weder die EG-Antiterrorverordnungen noch die 
einschlägigen UN-Beschlüsse enthalten entsprechende 
Verpflichtungen. Auch erscheint eine Anwendung der 
Generalklausel des § 32 BDSG hier nicht tragfähig. 
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Kasten zu Nr. 7.5.1 


Beschluss der obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich 

(Düsseldorfer Kreis am 22./23. November 2011) 

Beschäftigtenscreening bei AEO-Zertifizierung wirksam begrenzen 

Der Düsseldorfer Kreis hat sich bereits mehrfach mit dem Problem des Mitarbeiterscreenings befasst, zuletzt durch 
Beschluss vom 23. /24. April 2009. Es gibt Anlass, die Problematik erneut aufzugreifen. 

ln den letzten Jahren ist insbesondere die Zollverwaltung im Rahmen der Bewilligung des zollrechtlichen Status ei- 
nes „zugelassenen Wirtschaftsbeteiligten“ (AEO-Zertifizierungen) dazu übergegangen, von den Unternehmen um- 
fangreiche Screenings von Mitarbeitern - und gegebenenfalls Daten Dritter - zu verlangen. Diese Screenings werden 
zum Teil in Abständen von wenigen Wochen ohne konkreten Anlass und undifferenziert durchgeführt, ln diesem Ge- 
schäftsfeld betätigen sich bereits spezialisierte Dienstleister, die sich die bestehende Unsicherheit bei den Unterneh- 
men zunutze machen. Dies ist auch der Grund, warum diese Screenings immer häufiger durchgeführt werden. Nach 
den praktischen Erfahrungen der Aufsichtsbehörden mangelt es an klaren Regelungen, wie mit den Ergebnissen von 
Datenscreenings umzugehen ist (Treffermanagement). Das Bundesministerium der Finanzen hat zwar am 14. Juni 
2010 anlässlich dieser Praxis einschränkende Vorgaben erlassen, diese werden jedoch von den zuständigen Zollbe- 
hörden nicht einheitlich umgesetzt. 

Der Düsseldorfer Kreis hält in seinem vorgenannten Beschluss derartige Screenings nur aufgrund einer speziellen 
Rechtsgrundlage für zulässig. Eine solche Rechtsgrundlage fehlt. 

Weder die geltenden EU- Antiterrorverordnungen noch andere Sanktionslisten erfüllen die Anforderungen an eine 
solche spezielle Rechtsgrundlage. Diese Verordnungen enthalten lediglich die allgemeine Handlungspfiicht, den in 
den Anlagen genannten Personen und Institutionen keine rechtlichen Vorteile zu gewähren, verpflichten jedoch nicht 
zu Screenings von Mitarbeitern, Kunden oder Lieferanten. 

Auch die Bundesregierung ist der Auffassung, dass die Terrorismusverordnungen keinen systematischen, anlassunab- 
hängigen Abgleich von Mitarbeiterdateien mit den Sanktionslisten verlangen. Allenfalls nach Maßgabe von Sorg- 
faltspfiichten und differenzierend nach verschiedenen Verkehrskreisen und Risikolagen seien solche Abgleiche zuläs- 
sig. Es bleibe den Unternehmen überlassen, wie sie die Einhaltung der Terrorismusverordnungen sicherstellen 
(Bundestagsdrucksache 17/4136 vom 3. Dezember 2010). 

Vor diesem Hintergrund empfiehlt und fordert der Düsseldorfer Kreis: 

- Unternehmen sollten Datenscreenings nicht pauschal und anlasslos durchführen. Da die Lohnzahlung nur unbar 
erfolgt, die Kreditinstitute nach § 25c Kreditwesengesetz (KWG) ohnehin Abgleiche mit den Terrorlisten vorneh- 
men, ist ein Datenabgleichverfahren innerhalb des Unternehmens mit Mitarbeiterdaten nicht geboten. 

- Die Zollbehörden werden aufgefordert, die rechtsstaatlichen Vorgaben im Rahmen der AEO-Zertifizierung zu be- 
achten. Eine einheitliche Praxis nach diesen Vorgaben gibt den Unternehmen Rechtssicherheit. 

- Die Bundesregierung wird gebeten, die derzeitige AEO-Zertifizierungspraxis einer baldigen und umfassenden 
Evaluation zu unterziehen. 


7.5.2 Das IT-Verfahren „PARIS“ - Eine 
Risikoanalyse 

Das IT-Verfahren „PARIS“ (Pre-Arrival Risk Analysis) 
des Zollfahndungsdienstes steckt noch in den Kinderschu- 
hen. Es stellt in der derzeitigen Fassung kein Risiko für 
den Datenschutz dar. 

Nicht erst seit den vereitelten „Paketbomben-Anschlägen“ 
aus dem Jemen im Jahr 2010 bemühen sich Sicherheitsbe- 
hörden darum, den stetig wachsenden Strom an Fracht, der 
die Europäische Union (EU) passiert, genauestens zu kon- 
trollieren. Seit dem 19. März 2012 nutzt der Zollfahn- 
dungsdienst hierfür nun ein neues Sicherheitsinstrument: 
das IT-Verfahren „PARIS“. Es dient der Risikoeinschät- 
zung von Warenbewegungen, unter Berücksichtigung der 


daran beteiligten Personen sowie Organisationen und 
wird bei allen Einfuhren aus Drittstaaten in die EU ange- 
wendet. 

Bestimmte Waren, die aus Drittstaaten in die EU unmit- 
telbar nach oder über Deutschland transportiert werden, 
müssen beim Zoll angemeldet werden (Artikel 36a Zoll- 
kodex). Die hierfür in einem elektronischen Formular 
eingegebenen Daten werden an „PARIS“ übermittelt. 
„PARIS“ führt automatisiert anhand von europaweit ein- 
heitlich festgelegten Prüfkriterien eine Risikoeinschät- 
zung dazu durch, ob von der versandten Ware oder den 
daran beteiligten Personen oder Unternehmen eine Ge- 
fahr ausgeht. 

Die personenbezogenen Daten werden nicht in „PARIS“ 
selbst automatisiert geprüft, sondern an das IT-Verfahren 
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„ADA“ (Automatisierter Datenabgleich) übermittelt. 
Dort werden sie mit verschiedenen Bestandsdatenbanken 
abgeglichen. Gibt es bei der automatisierten Prüfung von 
Waren, Organisationen oder personenbezogenen Daten 
einen Treffer, wird dieser durch Mitarbeiter des Zollfahn- 
dungsdienstes in einem zweiten Schritt nochmals manuell 
untersucht. So soll sichergestellt werden, dass nicht be- 
reits ein Treffer im automatisierten Verfahren eine Kon- 
trollmaßnahme auslöst. Erst wenn die Risikoprüfüng 
durch den Mitarbeiter des Zollfahndungsdienstes An- 
haltspunkte für eine tatsächliche Gefahr ergibt, übermit- 
telt dieser eine Kontrollempfehlung an den vor Ort zu- 
ständigen Zollmitarbeiter. 

Bei meiner Prüfung habe ich festgestellt, dass dieses Ver- 
fahren bei der automatisierten Prüfung viele Treffer an- 
zeigt, welche sich dann bei der manuellen Prüfung aber 
als „falscher Alarm“ herausstellen. 

Die Entwicklung von „PARIS“ ist noch nicht abgeschlos- 
sen. Beabsichtigt sind sowohl die Vernetzung mit anderen 
Sicherheitsbehörden als auch den umfassenden Abgleich 
mit den Datenbanken des Zollfahndungsdienstes. Die 
Eingriffsintensität des neuen Verfahrens halte ich in sei- 
ner gegenwärtigen Form für moderat: Speicherungen zu 
geringfügigen zollrechtlichen Delikten können keinen 
Treffer erzeugen, ln „PARIS“ werden keine Risikoprofile 
zu den an der Einfuhr beteiligten Personen erstellt. Zu- 
dem werden - jedenfalls bislang - keine personenbezoge- 
nen Daten anderer Sicherheitsbehörden in die Risikoein- 
schätzung einbezogen. Ich werde „PARIS“ weiterhin 
- insbesondere im Hinblick auf die geplanten Funktions- 
erweiterungen - kritisch beobachten. 

7.6 Bundespolizei 

7.6.1 Elektronische Kriminalakte bei 

der Bundespolizei 

Bereits in meinem letzten Tätigkeitsbericht (23. TB 
Nr. 7.3.3) habe ich darüber berichtet, dass die Bundes- 
polizei zukünftig ihre Kriminalakten weitgehend von der 
Papierform in die elektronische Form überführen wird. 
Dabei stellen sich einige wichtige datenschutzrechtliche 
Fragen. 

Dass Behörden von der papiermäßigen Akten- und Kar- 
teiführung zu elektronischen Systemen wechseln, ist an 
und für sich nichts ungewöhnliches (vgl. Nr. 3.2.1). Ins- 
besondere bei Systemen, in denen in großem Umfang 
höchst sensible Daten gespeichert werden, stellen sich 
mit der Umstellung nicht immer einfach lösbare daten- 
schutzrechtliche Fragen. 

Ein solcher Fall ist die „elektronische Kriminalakte“ 
(eKA). Die Kriminalakte ist eine personenbezogene kri- 
minalpolizeiliche Sammlung bei der Bundespolizei, die 
wesentliche Erkenntnisse zu bestimmten natürlichen Per- 
sonen enthält. Im zweiten Halbjahr 2013 will die Bundes- 
polizei die bisher in Papierform geführten Kriminalakten 
größtenteils in die elektronische Form überführen. Dies 
ist mit datenschutzrechtlichen Risiken verbunden. 


Die in der“eKA“ gespeicherten Daten überschneiden sich 
inhaltlich zum Teil mit den Daten in der Datei „Bundes- 
polizeiaktennachweis“ (BAN). Mir ist bewusst, dass 
beide Dateien unterschiedliche Zwecke verfolgen und 
eine Überschneidung der jeweils gespeicherten Daten un- 
vermeidbar ist. Dennoch sollte bei der weiteren Einfüh- 
rung der „eKA“ die Doppelspeichemng von Daten so ge- 
ring wie möglich gehalten werden. Dies reduziert auch 
den Arbeitsaufwand der Bundespolizei. 

Bundespolizisten können auf Daten der „eKA“ leichter 
zugreifen als dies bisher bei der (Papier-)Kriminalakte 
möglich war. Alle Nutzer des Vorgangsbearbeitungssys- 
tems der Bundespolizei „@rtus-Bund“ können die in der 
„eKA“ enthaltenen Daten einsehen, ohne dass es - wie 
bisher - eines Ersuchens um Übersendung der (Papier-) 
Kriminalakte bedarf Hierdurch besteht die Gefahr einer 
unverhältnismäßigen Ausweitung von Zugriffsrechten. 
Als Schutzmaßnahme ist deshalb vorgesehen, dass die 
Bundespolizisten vor dem Zugriff auf die „eKA“ die Not- 
wendigkeit der Nutzung begründen müssen. Alle Zugriffe 
werden zudem protokolliert. Eine stichprobenartige Kon- 
trolle durch den behördlichen Datenschutzbeauftragten 
des Bundespolizeipräsidiums ist vorgesehen, der u. a. für 
diese Aufgabe mit zusätzlichem Personal ausgestattet 
worden ist. Ob durch dieses Konzept der Zugriff auf die 
„eKA“ tatsächlich auf das erforderliche Maß reduziert 
wird, muss der praktische Betrieb zeigen. 

ln der „eKA“ sollen auch detaillierte Informationen zur 
Persönlichkeit der Betroffenen gespeichert werden. Hier 
deutet sich etwas Neues an. Denn während herkömmliche 
Dateien zur Gefahrenvorsorge zwar auch „personenge- 
bundene Hinweise“ und Angaben über Beziehungen zu 
anderen Personen enthalten, scheint es der Bundespolizei 
nunmehr gerade auf eine verstärkte Beschreibung der 
Persönlichkeit des Betroffenen anzukommen, die bei Er- 
fassung in der „eKA“ grundsätzlich allen Nutzem von 
@rtus-Bund zugänglich sind. Gegen diese Form der Per- 
sönlichkeitsbeschreibung habe ich erhebliche Bedenken. 
Als Rechtsgrundlage für die Speichemng solcher Daten 
kommt m. E. nur § 29 Absatz 2 Satz 3 Nummer 2 Bun- 
despolizeigesetz (BPolG) in Betracht. Danach ist die 
Speichemng von weiteren personenbezogenen Daten u. a. 
zulässig, soweit dies erforderlich ist, z. B. weil wegen der 
Persönlichkeit des Betroffenen Gmnd für die Annahme 
weiterer Strafverfahren besteht. Die Bundespolizei ist da- 
nach zumindest verpflichtet, die Angaben zur Persönlich- 
keit des Betroffenen in der „eKA“ auf das erforderliche 
Maß zu begrenzen. Eine von mir geforderte entspre- 
chende Anweisung an alle Nutzer der „eKA“ hat die Bun- 
despolizei bereits formuliert. 

Außerdem ist sicherzustellen, dass der Beurteilung Tatsa- 
chen und nicht Vermutungen zugmnde hegen. Inwieweit 
die Mitarbeiter der Bundespolizei die Dokumentation die- 
ser Tatsachen auch bei unübersichtlichen Situationen si- 
cherstellen können, wird sich zeigen. Ggf ist hierfür eine 
entsprechende Schulung notwendig. 

Wie mir bei meiner Prüfung auffiel, plante die Bundes- 
polizei, in die „eKA“ auch gefährdete Personen aufzu- 
nehmen, damnter Hilflose, Vermisste und Suizidgefähr- 
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dete. Zudem sollten „Personen, die in die Verarbeitung 
ihrer Daten eingewilligt haben (insbesondere Geschädigte 
und Zeugen für zukünftige Strafverfahren) sowie perso- 
nenbezogene Daten der Angehörigen von Dienststellen“ 
in der „eKA“ gespeichert werden. Hierfür sehe ich keine 
hinreichende Rechtsgrundlage, denn gerade bei derarti- 
gen, für hoheitliche Zwecke geführten Datensammlungen 
scheidet die Einwilligung als Rechtsgrundlage weitge- 
hend aus. Zudem sind im Kriminalaktennachweis (KAN) 
und im BAN solche Personenkategorien nicht vorgese- 
hen. Auf einen entsprechenden Hinweis hin hat mir die 
Bundespolizei zugesagt, diese Personenkategorien nicht 
in der „eKA“ zu speichern. 

Bei der Löschung von Daten aus der „eKA“ halten sich 
die Aussonderungsprüffristen zwar im gesetzlichen Rah- 
men und sehen eine gewisse Abstufung angesichfs der 
Schwere der Tat vor. Sie gehen allerdings über die im 
BAN vorgesehene regelmäßige Speicherdauer erheblich 
hinaus. Dies ist für mich nicht nachvollziehbar. Ich halte 
insofern eine Verkürzung der Aussonderungsprüffristen 
für geboten; sie sollten die im BAN enthaltenen Fristen 
nicht übersteigen. 

Positiv sehe ich das Verfahren zum Löschen von Daten aus 
der „eKA“. Wird zu einer natürlichen Person eine „eKA“ 
angelegt, wird jedes einzelne Delikt in einem gesonderten 
virtuellen „Merkblatt“ gespeichert. Jedes Merkblatt hat 
ein eigenes Aussonderungsprüfdatum und kann unabhän- 
gig von ggf weiteren bestehenden Merkblättern gelöscht 
werden. Außerdem setzt die Verlängerung jedes Ausson- 
derungsprüfdatums grundsätzlich voraus, dass neue Er- 
kenntnisse in der Zwischenzeit hinzugekommen sind. Die 
Verlängerung muss immer begründet und dokumentiert 
werden. 

Ich werde die zukünftige Enfwicklung und praktische 
Nutzung der „eKA“ auch weiterhin kritisch begleiten. 

7.6.2 Unzulässige Übermittlung personen- 
bezogener Daten an Europol 

Die Bundespolizei hat jahrelang rechtswidrig personen- 
bezogene Daten von geschleusten Personen an das Euro- 
pol-lnformationssystem (EIS) übermittelt. 

Das Europäische Polizeiamt „Europol“ betreibt zur Erfül- 
lung seiner Aufgaben verschiedene Informationsverarbei- 
tungssysfeme (vgl. Nr. 2.2.2). Eines davon isf das Euro- 
pol-lnformationssysfem (EIS). Dort dürfen nur solche 
Personen gespeichert werden, die verdächtig oder verur- 
teilt sind oder bei denen faktische Anhaltspunkte für die 
zukünftige Begehung einer Straftat vorliegen, die in den 
Zuständigkeitsbereich von Europol fallen muss (Arti- 
kel 12 Absatz 1 i. V. m. Artikel 4 des Europol-Beschlus- 
ses (2009/371/Jl)). 

Wie meine bei der Bundespolizei durchgeführte Kon- 
trolle gezeigt hat, lagen den an Europol übermittelten Da- 
ten ausschließlich Fälle von „Schleusungsdelikten“ zu- 
grunde. Dabei hat die Bundespolizei in sämtlichen 
(überprüften) Sachverhalten nicht nur die der Schleusung 
verdächtigen Personen, sondern ganz überwiegend ge- 
schleuste Personen im EIS ausgeschrieben. Dies ist mit 
dem Europol-Beschluss nicht vereinbar. Ursache dieses 


Fehlers war das seinerzeit genutzte wenig flexible techni- 
sche Verfahren, das es nur ermöglichte, entweder alle Per- 
sonendaten eines relevanten Sachverhalts an Europol zu 
übermitteln oder gar keine. Der Bundespolizei hätte die- 
ser Fehler bereits vor Jahren auffallen müssen, da ich sie 
seit 2007 immer wieder auf unzulässige Ausschreibungen 
im EIS hingewiesen hatte. Passiert war jedoch nichts. 

Bei meiner Kontrolle musste ich zudem feststellen, dass 
auch die besondere Vorschrift zur Löschung von Daten 
im Europol-Beschluss keine Anwendung in der Praxis 
findet. Danach sind die Daten des Betroffenen zu löschen, 
wenn das Verfahren gegen ihn endgültig eingestellt oder 
er rechtskräftig freigesprochen wird (Artikel 12 Absatz 5 
des Europol-Beschlusses). Eine Löschung erfolgte jedoch 
nicht, obwohl die Bundespolizei nach eigener Aussage in 
der Regel eine Mitteilung der Staatsanwaltschaft über den 
Ausgang des Verfahrens erhält. Auch hier musste Abhilfe 
geschaffen und die Anwendung spezieller Löschvor- 
schriften gern. § 12 Absatz 5 Europol-Beschluss in allen 
Bundespolizeidirektionen sichergestellt werden. 

Die Bundespolizei hat auf meine Kontrolle unmittelbar 
reagiert. Alle neuen Ausschreibungen im EIS sind sofort 
gestoppt worden. Außerdem wurden alle bisher an das 
EIS übermittelten Datensätze gelöscht. Zwischenzeitlich 
wurde das System angepasst, so dass es nun möglich ist, 
nur die zulässigen Personendaten an das EIS zu übermit- 
teln. Alte wie neue Personendatensätze werden nun da- 
raufhin überprüft, ob ihre Übermittlung an das EIS zuläs- 
sig ist. Die Bundespolizei hat zudem sichergestellt, dass 
die Daten eines Betroffenen im EIS nun gelöscht werden, 
wenn das Verfahren gegen ihn endgültig eingestellt oder 
der Betroffene rechtskräftig freigesprochen wird. 

Ich begrüße die sofortige und umfassende Reaktion der 
Bundespolizei auf meine Feststellungen. Dies hat mich 
auch dazu bewogen, von einer Beanstandung nach § 25 
Absatz 2 BDSG abzusehen. Dennoch hätte insbesondere 
der technische Mangel des Systems deutlich früher aufge- 
deckt werden müssen. Dies hätte nicht nur Eingriffe in 
die Rechte der Betroffenen verhindert. Auch die Bundes- 
polizei hätte sich einigen Ärger und Aufwand erspart. 

7.7 Nachrichtendienste 

7.7.1 „Need to Share“ für die Sicherheits- 

behörden - „Need to Know“ Im 
Datenschutz? 

Der Paradigmenwechsel von „Need to Know“ zu „Need 
to Share“ und die damit verbundenen neuen Mechanis- 
men des Datenaustauschs bei den Sicherheitsbehörden 
machen entsprechende übergreifende Kontrollbefugnisse 
bei den Kontrollgremien erforderlich. 

Die staatliche Präventionslogik, die sich in der Auseinan- 
dersetzung mit dem islamistischen Terrorismus nach den 
Terroranschlägen 2001 verstärkte, führte zu zahlreichen 
neuen Befugnissen für Polizei, Strafverfolgungsbehörden 
und Nachrichtendiensten (vgl. Nr. 7.1 ff). Hinter fast al- 
len neuen Befugnissen steht die Ablösung des alten 
Grundsatzes „Need to Know“, durch „Need to Share“. 
Dabei war „Need to Know“ praktisch dasselbe wie der 
Erforderlichkeitsgrundsatz im Datenschutzrecht: Eine 
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Behörde erhält nicht mehr und nicht weniger Informatio- 
nen, als zur jeweiligen Aufgabenerfüllung erforderlich 
sind. „Need to Share“ ist das genaue Gegenteil: Ohne 
konkrete Anfrage werden Informationen mit allen ande- 
ren Stellen geteilt, die vielleicht etwas damit anfangen 
können - Datenübermittlung auf Vorrat. 

ln Deutschland ist der bekannteste Ausfluss dieses Para- 
digmenwechsels die Anti-Terror-Datei (ATD) (vgl. Nr. 7.2) 
Sobald eine der an dieser Datei beteiligten Behörden eine 
Person in der ATD gespeichert hat, müssen alle anderen 
angeschlossenen Stellen Informationen, die sie zu dieser 
Person besitzen, dazu speichern. 

Völlig unabhängig von der Bewertung, inwieweit die 
neuen gemeinsamen Dateien und Kooperationsplattfor- 
men mit dem Trennungsgebot von Nachrichtendiensten 
und Polizei vereinbar sind: An dieser Stelle hat sich die 
Schere zwischen der Qualität des denkbaren Grundrechts- 
eingriffs und den Möglichkeiten einer effizienten Daten- 
schutzkontrolle weit geöffnet (zur Evaluationsnotwendig- 
keit vgl. Nr. 7.1.). 

Zwar wurde für die gemeinsamen Dateien eine Inhalts- 
und Transaktionsvollprotokollierung implementiert. Au- 
ßerdem hat der Deutsche Bundestag die lückenlose daten- 
schutzrechtliche Kontrolle der Rechtsextremismusdatei 
gefordert, um so ein umfassendes und möglichst einheitli- 
ches und hohes Datenschutzniveau zu gewährleisten. 

Die Praxis wird diesen Anforderungen jedoch nicht ge- 
recht. Während Polizei und Nachrichtendienste, Landes- 
und Bundesbehörden über gemeinsame Dateien jederzeit 
auf die Gesamtheit der zu einem Betroffenen gespeicher- 
ten Daten zugreifen können, ist die Datenschutzkontrolle 
Stückwerk geblieben. Weder ich noch ein Landesbeauf- 
tragter für den Datenschutz erhalten aufgrund eigener 
Kompetenz einen vollständigen Überblick über Speiche- 
rung und Verwendung der Daten eines Betroffenen. Eine 
umfassende dafenschutzrechtliche Prüfung wäre somit 
theoretisch nur mit erheblichem Koordinierungsaufwand 
aller zuständigen Datenschutzbehörden möglich und ist 
faktisch schon auf Grund fehlender Personalausstattung 
ausgeschlossen. 

Darüber hinaus erfordert die Auswertung der Protokoll- 
daten mit dem dazu vom BKA bereitgestellten Analyse- 
tool in aller Regel einen hohen technischen und zeitlichen 
Programmieraufwand. Für noch gravierender halte ich es, 
dass meine zu Datenschutzkontrollzwecken bestehende 
Nutzungsmöglichkeit der ATD -Protokolldaten (in der 
Praxis) unzulässig (weit) eingeschränkt wird, indem ich 
z. B. Protokolldaten, die von an der Datei beteiligten Lan- 
desbehörden generiert wurden, nicht einsehen darf Auch 
bei der Prüfung der Dateien selbst wurde durch die kon- 
trollierten Stellen die Auffassung vertreten, ich dürfe nur 
die Speicherungen sehen, die von den meiner Kontrolle 
unterfallenden (Bundes-)Behörden veranlasst wurden. 
Ich muss jedoch in der Lage sein, die Gesamtheit der per- 
sonenbezogenen Daten zu sehen, die in den beim Bundes- 
kriminalamt geführten Dateien zu einer Person gespei- 
chert und verwendet werden. 

Um einem Missverständnis vorzubeugen: Hier geht es 
nicht darum, dass ich die durch eine Landesbehörde ge- 


speicherten Daten kontrollieren möchte. Wenn ich jedoch 
- sei es auf Ersuchen eines Betroffenen, sei es im Rah- 
men einer allgemeinen Kontrolle - eine Prüfung vor- 
nehme, kann es nicht sein, dass ich bei den Datenschutz- 
beauftragten aller Länder einzeln anfragen muss, ob die 
jeweils ihrer Kontrolle unterfallenden Stellen Speicherun- 
gen oder Abrufe vorgenommen haben, und dass ich dann 
die Antworten nach Art eines Puzzles zu einer Gesamt- 
schau zusammenfügen muss. 

Wenn dem Grundsatz „Need to Share“ die Erkenntnis zu 
Grunde hegt, nur die Gesamtschau aller zu einer Person 
vorhandenen Daten mache eine werthaltige Einschätzung 
eventueller Gefahren möglich, dann muss dies auch für 
den Datenschufz gelten. Die ansonsten unvermeidlichen 
datenschutzrechtlichen Kontrolldefizite dürfen nicht hin- 
genommen werden und führen im Ergebnis zu einem ver- 
fassungswidrigen Zustand. 

7.7.2 Vom Unterschied zwischen Kontroiie 
und Kenntnisnahme ... 

Mehrere Kontrollgremien führen faktisch zu kontroll- 
freien Räumen. 

Die Kontrolle, ob Daten nach dem Gesetz zur Beschrän- 
kung des Brief-, Post- und Femmeldegeheimnisses (Arti- 
kel 10-Gesetz - G 10), rechtmäßig erhoben und verwendet 
werden, unterliegt ausschließlich der G 10-Kommission 
des Deutschen Bundestages. Das darf aber nicht bedeu- 
ten, dass mir die Einsichtnahme in diese Daten verwehrt 
wird, wenn sie zur Beurteilung der Rechtmäßigkeit nach- 
gelagerter Eingriffe in das informationeile Selbstbestim- 
mungsrecht des Betroffenen erforderlich ist. 

Nicht nur bei der Kontrolle gemeinsamer Datenbestände 
von Bund und Land bin ich im Berichtszeitraum an Gren- 
zen gestoßen, die im Ergebnis kontrollfreie Räume mar- 
kieren. Derzeit existieren drei unabhängige Kontroll- 
organe: Die G 10-Kommission, das Parlamentarische 
Kontrollgremium und der Bundesbeauftragte für den Da- 
tenschufz und die Informationsfreiheit. Nach dem Gesetz 
existieren keine kontrollfreien Räume - aber faktisch 
sieht die Sache anders aus. 

So unterfallen gern. § 24 Absatz 2 Satz 3 BDSG perso- 
nenbezogene Daten, die der Kontrolle durch die G 10- 
Kommission des Deutschen Bundestages unterliegen, 
nicht meiner Prüfung. 

Diese Vorschrift des BDSG wird nun aber seitens der 
meiner Datenschutzaufsicht unterliegenden Stellen so in- 
terpretiert, dass mir nicht nur die Kontrolle, sondern da- 
rüber hinaus die Einsicht in Daten, die nach Artikel 10- 
Gesetz erhoben wurden, verwehrt wird. Personenbezo- 
gene Daten dürfen mit nachrichtendienstlichen Mitteln 
oder besonderen Befugnissen, wie Sie im Rahmen der 
Anti-Terror-Gesetzgebung neu für die Nachrichtendienste 
des Bundes geschaffen wurden, nur erhoben werden, 
wenn bestimmte Voraussetzungen vorhegen. Auch die 
weitere Verwendung personenbezogener Daten (z. B. die 
Speicherung in der Anti-Terror-Datei) ist nur dann daten- 
schutzrechtlich nicht zu beanstanden, wenn gesetzlich 
vorgeschriebene Bedingungen erfüllt sind. 
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Sobald mir ein Nachrichtendienst bei einer Kontrolle er- 
klärt, das Vorliegen legitimierender Voraussetzungen sei 
durch Informationen belegt, die im Rahmen einer G 10- 
Maßnahme gewonnen worden seien, werden mir diese In- 
formationen vorenthalten, ln der Praxis führt das dazu, dass 
ich die Gesetzmäßigkeit von Maßnahmen nach dem Bun- 
desverfassungsschutzgesetz, die meiner ausschließlichen 
Kontrolle unterliegen, überhaupt nicht mehr prüfen kann. 

Eine entsprechende Untersuchung kann aber auch nicht 
durch die G 10-Kommission erfolgen. Nach § 15 Absatz 5 
Satz 2 Artikel 10-Gesetz erstreckt sich deren Kontrollbe- 
fugnis nur auf die Erhebung, Verarbeitung und Nutzung 
der nach dem Artikel 10-Gesetz erlangten personenbezo- 
genen Daten durch Nachrichtendienste des Bundes. Aus 
diesen Erkenntnissen resultierende Maßnahmen nach 
Bundesverfassungsschutzgesetz darf die G 10-Kommis- 
sion nicht beurteilen. 

Die vorgenannte Problematik besteht in allen Bereichen, 
in denen G 10-Erkenntnisse (teilweise) Grundlage von 
nachrichtendienstlichem oder polizeilichem Handeln sind 
und mir die Überprüfung der Rechtmäßigkeit dieser Maß- 
nahmen gesetzlich zugewiesen ist. 

Eine gesetzliche Klarstellung ist erforderlich: Die G 10- 
Kommission des Deutschen Bundestages muss zur Beur- 
teilung, ob eine Maßnahme zur Beschränkung des Brief-, 
Post- und Femme Idegeheimnisses nach dem Artikel 10- 
Gesetz rechtmäßig ist, personenbezogene Daten sehen, 
die nach den spezialgesetzlichen Befugnissen der Nach- 
richtendienste oder mit polizeilichen Mitteln erhoben 
wurden. Ebenso muss ich solche G 10-lnformationen se- 
hen, die zur Legitimation der durch mich zu prüfenden 
Maßnahmen herangezogen wurden (vgl. hierzu auch 
Nr. 7.7.6). Nur so lassen sich die aufgetretenen Kontroll- 
lücken schließen. 

7.7.3 Eine Akte ist eine Akte ist eine Akte? 

Handelt es sich bei einer elektronischen Akte um eine Da- 
tei oder eine Akte im herkömmlichen Sinne? An diese 
Frage knüpfen sich insbesondere bei den Nachrichten- 
diensten Rechtsfolgen für Speicherung und Löschung per- 
sonenbezogener Daten. 

Die Einführung elektronischer Aktensysteme wirft daten- 
schutzrechtliche Fragen auf, die dringend beantwortet 
werden müssen (vgl. Nr. 3.2.1, 7.6.1). Dazu gehört auch 
die Unterscheidung zwischen „Akte“ und „Datei“. Nach 
dem Bundesdatenschutzgesetz erscheint die Angelegen- 
heit recht einfach: Wird in besonderen Rechtsvorschriften 
des Bundes der Begriff Datei verwendet, ist dies entwe- 
der eine Sammlung personenbezogener Daten, die durch 
automatisierte Verfahren nach bestimmten Merkmalen 
ausgewertet werden kann (automatisierte Datei), oder 
jede sonstige Sammlung personenbezogener Daten, die 
gleichartig aufgebaut ist und nach bestimmten Merkma- 
len geordnet, umgeordnet und ausgewertet werden kann 
(nicht automatisierte Datei). Nicht hierzu gehören Akten 
und Aktensammlungen, es sei denn, dass sie durch auto- 
matisierte Verfahren umgeordnet und ausgewertet werden 
können. (§ 46 BDSG). 


Wozu gehört also die elektronische Akte? Nach der Be- 
griffsbestimmung des BDSG ist entscheidend, wie die 
elektronische Aktenführung erfolgt und was mit der elekt- 
ronischen Akte gemacht werden kann. Lässt sie sich durch 
ein automatisiertes Verfahren umordnen und auswerten, 
handelt es sich um eine Datei. Damit hat der Gesetzgeber 
der Eingriffstiefe und dem erhöhten Missbrauchspotential 
Rechnung getragen, die mit der Verarbeitung personenbe- 
zogenen Daten in Dateien verbunden sind. 

Deshalb dürfen die Nachrichtendienste nur einen Bruch- 
teil der Daten, die sie in Akten sammeln dürfen, auch in 
Dateien speichern (vgl. Kasten zu Nr. 7.7.3). Automati- 
sierte Dateien standen ursprünglich überhaupt nicht in 
Konkurrenz zu Akten, die in Papierform geführt wurden. 
Die technische Entwicklung, die auch zur Einführung der 
elektronischen Akte geführt hat, hat diese Differenzie- 
rung aufgehoben. 

Gleichwohl vertreten Bundesamt für Verfassungsschutz 
(BfV) und Bundesministerium des Innern (BMI) bis 
heute die Auffassung, dass die elektronischen Akten den 
Regelungen für herkömmliche Akten unterfallen, insbe- 
sondere was die Speicherung und Löschung personenbe- 
zogener Daten angeht. Ich habe bereits unmittelbar nach 
der Einführung der elektronischen Akte im BfV (vgl. 
20. TB Nr. 5.5.2; 19. TB Nr. 5.5.2; 18. TB Nr. 14.1) ge- 
fordert sicherzustellen, dass eine elektronische Recherche 
nur zu solchen Personen erfolgen kann, deren Daten nach 
geltendem Recht automatisiert gespeichert werden dür- 
fen. Daraufhin wurde die Recherchebefugnis im BfV ent- 
sprechend geregelt. Das bedeutet, die Mitarbeiter dürfen 
unabhängig von den technischen Möglichkeiten die elek- 
tronische Akte nur nach solchen Personen auswerten, die 
nach dem Gesetz in Dateien gespeichert werden dürfen. 

Eine derartige rechtliche Beschränkung genügt, insb. vor 
dem Hintergrund einer zunehmenden Automatisierung 
sämtlicher Verwaltungsprozesse, nicht den datenschutz- 
rechtlichen Erfordernissen. Die Definition des § 46 
BDSG stellt eindeutig darauf ab, ob eine automatisierte 
Auswertung möglich ist - ob sie gleichwohl durch eine 
(untergesetzliche) Regelung verboten ist, ist unerheblich. 

Ich erlaube mir an dieser Stelle einen Vergleich: Niemand 
darf ohne entsprechende waffenrechtliche Genehmigung 
eine Schusswaffe besitzen - auch nicht, wenn er glaub- 
haft macht, dass er sie lediglich als Knüppel benutzt! 
Wenn eine elektronische Akte unter die datenschutzrecht- 
liche Privilegierung der herkömmlichen Akte in Papier- 
form fallen soll, ist daher technisch sicherzustellen, dass 
eine Auswertung durch automatisierte Verfahren allen- 
falls für solche personenbezogenen Daten möglich ist, die 
nach den gesetzlichen Befügnissen in Dateien gespeichert 
werden dürfen. 

Der Militärische Abschirmdienst hat mit seiner elektroni- 
schen Akte im Sicherheitsüberprüfungsverfahren einen 
brauchbaren Ansatz entwickelt, nach dem er die enthalte- 
nen Dokumente in einem weder recherchierbaren noch 
bearbeitbaren Format statisch stellt. Hierdurch könnten 
im Bereich der Nachrichtendienste sowohl der Grundsatz 
der Aktenwahrheit und -klarheit, als auch der Daten- 
schutz gewährleistet werden. 
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Kasten zu Nr. 1 .1 .3 


Bundesverfassungsschutzgesetz 

§ 12 Berichtigung, Löschung und Sperrung 
personenhezogener Daten in Dateien 

(1) Das Bundesamt für Verfassungsschutz hat die in 
Dateien gespeicherten personenbezogenen Daten zu be- 
richtigen, wenn sie unrichtig sind. 

(2) Das Bundesamt für Verfassungsschutz hat die in 
Dateien gespeicherten personenbezogenen Daten zu lö- 
schen, wenn ihre Speicherung unzulässig war oder ihre 
Kenntnis für die Aufgabenerfüllung nicht mehr erfor- 
derlich ist. Die Löschung unterbleibt, wenn Grund zu 
der Annahme besteht, dass durch sie schutzwürdige In- 
teressen des Betroffenen beeinträchtigt würden, ln die- 
sem Falle sind die Daten zu sperren. Sie dürfen nur noch 
mit Einwilligung des Betroffenen übermittelt werden. 

(3) Das Bundesamt für Verfassungsschufz prüft bei 
der Einzelfallbearbeitung und nach festgesetzten Fris- 
ten, spätestens nach fünf Jahren, ob gespeicherte perso- 
nenbezogene Daten zu berichtigen oder zu löschen sind. 
Gespeicherte personenbezogene Daten über Bestrebun- 
gen nach § 3 Absatz 1 Nummer 1, 3 und 4 sind spätes- 
tens zehn Jahre nach dem Zeitpunkt der letzten gespei- 
cherten relevanten Information zu löschen, es sei denn, 
der Behördenleiter oder sein Vertreter trifft im Einzelfall 
ausnahmsweise eine andere Entscheidung. 

(4) Personenbezogene Daten, die ausschließlich zu 
Zwecken der Datenschutzkontrolle, der Datensicherung 
oder zur Sicherstellung eines ordnungsgemäßen Betrie- 
bes einer Datenverarbeitungsanlage gespeichert werden, 
dürfen nur für diese Zwecke verwendet werden. 

§ 13 Berichtigung und Sperrung personenbezogener 
Daten in Akten 

(1) Stellt das Bundesamt für Verfassungsschufz fesf, 
dass in Akten gespeicherte personenbezogene Daten un- 
richtig sind oder wird ihre Richtigkeit von dem Betrof- 
fenen bestritten, so ist dies in der Akte zu vermerken 
oder auf sonstige Weise festzuhalten. 

(2) Das Bundesamt für Verfassungsschutz hat perso- 
nenbezogene Daten zu sperren, wenn es im Einzelfall 
feststellt, dass ohne die Sperrung schutzwürdige Interes- 
sen des Betroffenen beeinträchtigt würden und die Da- 
ten für seine künftige Aufgabenerfüllung nicht mehr er- 
forderlich sind. Gesperrte Daten sind mit einem 
entsprechenden Vermerk zu versehen; sie dürfen nicht 
mehr genutzt oder übermittelt werden. Eine Aufhebung 
der Sperrung ist möglich, wenn ihre Voraussetzungen 
nachträglich entfallen. 


7.7.4 Technischer Fortschritt und strategische 
Fernmeideüberwachung 

Auch inländische Telekommunikation wird über Server im 
Ausland geleitet. Was bedeutet dies fiir die strategische 
Fernmeideüberwachung des Bundesnachrichtendienstes 
(BND)? 


Im Jahr 2001 wurde das Gesetz zur Beschränkung des 
Brief-, Post- und Femme Idegeheimnisses (Artikel 10-Ge- 
setz - G 10) geändert. Seitdem darf der BND auch interna- 
tionale Telekommunikationsbeziehungen, d. h. Telefonate, 
E-Mails, SMS etc., überwachen, die von Deutschland ins 
Ausland und umgekehrt leitungsgebunden, d. h. via Ka- 
bel, gebündelt übertragen werden. Erforderlich hierfür ist 
die Anordnung einer sog. strategischen Beschränkung im 
Sinne des § 5 Absatz 1 G 10 (vgl. Kasten zu Nr. 7.7.4). 
Vor dieser Gesetzesändemng durfte der BND nur interna- 
tionale nicht leitungsgebundene Telekommunikation (Sa- 
tellitenverkehre, Richtfunkverkehre) erfassen. Mit der 
Ändemng wollte der Gesetzgeber der gewandelten Tele- 
kommunikationstechnik Rechnung tragen. Es war nicht 
beabsichtigt, den Umfang der bisherigen Kontrolldichte 
zu erweitern (vgl. Bundestagsdrucksache 14/5655 S. 17). 

Bereits seit Ende der 1990er Jahre wird die internationale 
Telekommunikation zunehmend nicht mehr über Richt- 
fünk bzw. Satellit, sondern über die weltumspannenden 
Kabelnetze digital geführt. Aufgmnd der Digitalisiemng 
können in einem Kabel gleichzeitig zehntausende Ver- 
kehre übertragen werden. Diese werden an den großen 
Knotenpunkten des Welt - Telekommunikationsnetzes 
„gebündelt“. Technisch erfolgt die Übertragung in Form 
der Paketvermittlung („packet switching“). Hierbei wird 
ein Telekommunikationsverkehr, z. B. eine E-Mail, in 
verschiedene kleine Datenpakete zerlegt. Die Pakete wer- 
den mit Steuemngsinformationen versehen und einzeln 
computergesteuert auf verschiedenen Routen übertragen. 
Welche Route gewählt wird, ist für den Absender nicht 
vorhersehbar. Die Auswahl hängt u. a. von der Auslas- 
tung der Routen bzw. den dort eingesetzten Servern ab. 

Bei der strategischen Beschränkung werden an ausge- 
wählten Übertragungswegen maximal 20 Prozent (vgl. 
Kasten zu Nr. 7.7.4) der dort „gebündelt“ übertragenen 
Telekommunikationsverkehre nach den in der jeweiligen 
Anordnung festgelegten Suchbegriffen maschinell durch- 
sucht und erfasst. Anschließend werden diese Daten 
durch den BND weiter gefiltert und ausgewertet. 

Aufgrund des technischen Fortschritts werden auch inlän- 
dische Telekommunikationsverkehre, d. h. Verkehre, bei 
denen sich Absender und Empfänger in Deutschland auf- 
halten, über im Ausland befindliche Routen geleitet. Dies 
hat zur Folge, dass auch dieser Verkehr über Übertra- 
gungswege gebündelt übertragen werden kann, die einer 
strategischen Beschränkung unterliegen. Demnach könn- 
ten auch diese Verkehre nach Suchbegriffen maschinell 
durchsucht und erfasst werden, obgleich es sich nicht um 
internationale Telekommunikationsbeziehungen im Sinne 
des § 5 Absatz 1 G 10 handelt. 

Ich habe diese Problematik mit dem BND erörtert und da- 
rauf hingewiesen, dass derartige Verkehre nach der gelten- 
den Rechtslage nicht erfasst werden dürfen. Sollte eine Er- 
fassung (teilweise) technisch unvermeidbar sein, muss der 
BND gewährleisten, dass diese personenbezogenen Daten 
schnellstmöglich erkannt und gelöscht werden. Der BND 
teilt meine rechtliche Einschätzung. Aufgrund der aus- 
schließlichen Kontrollkompetenz der G 10-Kommission des 
Deutschen Bundestages ist es mir allerdings nicht möglich, 
zu prüfen, ob eine Erfassung derartiger Daten erfolgt ist bzw. 
diese schnellstmöglich gelöscht worden sind (vgl. Nr. 7.7.2). 
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Kasten zu Nr. 1 .1 A 


Artikel 10-Gesetz: 

Strategische Beschränkungen 
§ 5 Voraussetzungen 

(1) Auf Antrag des Bundesnachrichtendienstes dürfen Beschränkungen nach § 1 für internationale Telekommuni- 
kationsbeziehungen, soweit eine gebündelte Übertragung erfolgt, angeordnet werden. Die jeweiligen Telekommuni- 
kationsbeziehungen werden von dem nach § 10 Abs. 1 zuständigen Bundesministerium mit Zustimmung des Parla- 
mentarischen Kontrollgremiums bestimmt. Beschränkungen nach Satz 1 sind nur zulässig zur Sammlung von 
Informationen über Sachverhalte, deren Kenntnis notwendig ist, um die Gefahr 

1 . eines bewaffneten Angriffs auf die Bundesrepublik Deutschland, 

2. der Begehung internationaler terroristischer Anschläge mit unmittelbarem Bezug zur Bundesrepublik Deutsch- 
land, 

3. der internationalen Verbreitung von Kriegswaffen im Sinne des Gesetzes über die Kontrolle von Kriegswaffen so- 
wie des unerlaubten Außenwirtschaftsverkehrs mit Waren, Datenverarbeitungsprogrammen und Technologien in 
Fällen von erheblicher Bedeutung, 

4. der unbefugten gewerbs- oder bandenmäßig organisierten Verbringung von Betäubungsmitteln in das Gebiet der 
Europäischen Union in Fällen von erheblicher Bedeutung mit Bezug zur Bundesrepublik Deutschland, 

5. der Beeinträchtigung der Geldwertstabilität im Euro-Währungsraum durch im Ausland begangene Geldfälschun- 
gen, 

6. der international organisierten Geldwäsche in Fällen von erheblicher Bedeutung oder 

7. des gewerbs- oder bandenmäßig organisierten Einschleusens von ausländischen Personen in das Gebiet der Euro- 
päischen Union in Fällen von erheblicher Bedeutung mit Bezug zur Bundesrepublik Deutschland 

a) bei unmittelbarem Bezug zu den Gefahrenbereichen nach Nr. 1 bis 3 oder 

b) in Fällen, in denen eine erhebliche Anzahl geschleuster Personen betroffen ist, insbesondere wenn durch die 
Art der Schleusung von einer Gefahr für ihr Leib oder Leben auszugehen ist, oder 

c) in Fällen von unmittelbarer oder mittelbarer Unterstützung oder Duldung durch ausländische öffentliche Stel- 
len rechtzeitig zu erkennen und einer solchen Gefahr zu begegnen. In den Fällen von Satz 3 Nr. 1 dürfen Be- 
schränkungen auch für Postverkehrsbeziehungen angeordnet werden; Satz 2 gilt entsprechend. 

(2) Bei Beschränkungen von Telekommunikationsbeziehungen darf der Bundesnachrichtendienst nur Suchbegriffe 
verwenden, die zur Aufklärung von Sachverhalten über den in der Anordnung bezeichneten Gefahrenbereich be- 
stimmt und geeignet sind. Es dürfen keine Suchbegriffe verwendet werden, die 

1 . Identifizierungsmerkmale enthalten, die zu einer gezielten Erfassung bestimmter Telekommunikationsanschlüsse 
führen, oder 

2. den Kembereich der privaten Lebensgestaltung betreffen. 

Dies gilt nicht für Telekommunikationsanschlüsse im Ausland, sofern ausgeschlossen werden kann, dass Anschlüsse, 
deren Inhaber oder regelmäßige Nufzer deufsche Sfaatsangehörige sind, gezielt erfasst werden. Die Durchführung ist 
zu protokollieren. Die Protokolldaten dürfen ausschließlich zu Zwecken der Datenschutzkontrolle verwendet werden. 
Sie sind am Ende des Kalenderjahres, das dem Jahr der Protokollierung folgt, zu löschen. 

Verfahren 
§10 Anordnung 

(4) In den Fällen der §§ 5 und 8 sind die Suchbegriffe in der Anordnung zu benennen. Ferner sind das Gebiet, über 
das Informationen gesammelt werden sollen, und die Übertragungswege, die der Beschränkung unterliegen, zu be- 
zeichnen. Weiterhin ist festzulegen, welcher Anteil der auf diesen Übertragungswegen zur Verfügung siebenden 
Übertragungskapazifät überwacht werden darf In den Fällen des § 5 darf dieser Anteil höchstens 20 vom Hundert be- 
tragen. 

(5) In den Fällen der §§ 3 und 5 ist die Anordnung auf höchstens drei Monate zu befristen. Verlängerungen um je- 
weils nicht mehr als drei weitere Monate sind auf Antrag zulässig, soweit die Voraussetzungen der Anordnung fortbe- 
stehen. 
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7.7.5 Damit wir wissen, worüber wir 
sprechen ... 

Akte oder Datei? Löschfrist oder Aussonderungsprüffrist? 
Löschen oder schreddern? Auch beim Datenschutz steckt 
der Teufel oft im Detail! Wie wichtig hier die sorgfältige 
Anwendung der Begriffe ist, zeigt die Berichterstattung 
zum ,, Schredder-Skandal“ beim Verfassungsschutz. 

Kurz nachdem die rechtsextremistische Terrorgruppe 
„Nationalsozialistischer Untergrund“ (NSU) Anfang No- 
vember 2011 aufgeflogen war, wurde der damalige Präsi- 
dent des Bundesamtes für Verfassungsschutz (BfV) in der 
Süddeutschen Zeitung zitiert: seine Behörde könne mög- 
liche Versäumnisse im Bereich Rechtsterrorismus nicht 
vollständig aufarbeiten. Der Grund dafür sei, dass perso- 
nenbezogene Akten nach fünf Jahren vernichtet würden. 
So schreibe es das Verfassungsschutzgesetz vor - und das 
hätten wiederum die Politiker zu verantworten. „Es wäre 
schön, wenn wir noch alle Akten hätten“, zitiert ihn das 
Blatt. Der Artikel erläutert: Nur in besonderen Fällen sei 
es erlaubt, Akten zehn Jahre lang aufzubewahren. Allein 
bei Islamismus- Verdächtigen betrüge die Frist 15 Jahre. 

Dieses Zitat suggeriert fälschlich, datenschutzrechtliche 
Vorgaben hätten zur Vernichtung von Daten geführt hät- 
ten, die für die Arbeit des Verfassungsschutzes erforder- 
lich gewesen wären. Zum einen handelt es sich bei der er- 
wähnten Fünf-Jahres-Frist nicht um eine Löschfrist, 
sondern um eine sogenannte „Aussonderungsprüffrist“. 
Geregelt ist diese in § 12 Absatz 3 Satz 1 Bundesverfas- 
sungsschutzgesetz (BVerfSchG). Danach hat das BfV bei 
der Einzelfallbearbeitung und nach festgesetzten Fristen, 
spätestens nach fünf Jahren, zu prüfen, ob gespeicherte 
personenbezogene Daten in Dateien zu berichtigen oder 
zu löschen sind. Es gibt also keinen datenschutzrechtli- 
chen Automatismus, Daten nach fünf Jahren zu löschen. 
Wenn das BfV bei der Prüfung zu dem Ergebnis gelangt, 
die Daten seien für die Aufgabenerfüllung noch erforder- 
lich, unterbleibt die Löschung. 

Dies habe ich auch in meinem Gutachten ausgeführt, dass 
ich im Auftrag des parlamentarischen Untersuchungsaus- 
schusses zur Terrorgruppe „NSU“ erstellt habe. Dort habe 
ich dargelegt, dass nur§ 12 Absatz 3 Satz 2 BVerfSchG 
Fristen zur Löschung von Daten enthält. Danach sind per- 
sonenbezogene Daten in Dateien spätestens zehn Jahre 
nach dem Zeitpunkt der letzten gespeicherten relevanten 
Information zu löschen, es sei denn, der Behördenleiter 
trifft im Einzelfall ausnahmsweise eine andere Entschei- 
dung. Das heißt: Auch diese auf Dateien bezogene Lösch- 
frist greift nicht, sofern die Daten noch benötigt werden. Es 
handelt sich daher keineswegs um unbedingte Löschfris- 
ten, wie sie z. B. im Bundeszentralregistergesetz gelten. 

Im übrigen beziehen sich die Aussonderungsprüf- und 
Löschfristen nach § 12 BVerfSchG ausschließlich auf in 
Dateien gespeicherte Informationen. Die Speicherung 
personenbezogener Daten in Akten ist in § 13 BVerfSchG 
geregelt. Dieser sieht weder eine Aussonderungsprüffrist 
noch eine Löschfrist vor. 

Übrigens sorgte auch der Begriff „löschen“ in der Be- 
richterstattung hier und da für Verwirrung, ob nun gerade 


Akten oder Dateien gemeint sind: Das Datenschutzrecht 
kennt für Akten und Dateien den Begriff „löschen“, wäh- 
rend man im allgemeinen Sprachgebrauch bei Akten eher 
Begriffe wie „vernichten“ oder „schreddern“ verwendet. 

Um jedwedes Missverständnis zu vermeiden: Meine Äuße- 
rungen sind kein Plädoyer für unbegrenzte Speicherungen 
beim Verfassungsschutz. Ich habe immer gefordert, dass 
personenbezogene Daten in Akten zu löschen sind, wenn 
die korrespondierenden Daten in der Verbunddatei der Ver- 
fassungsschutzbehörden (NADIS) gelöscht werden. 

Durch unpräzise Darstellung und falsche Verwendung 
von Begriffen darf aber nicht der Eindruck entstehen, es 
gebe Gesetze, die die Löschung von Daten vorschreiben, 
die für die Aufgabenerfüllung des BfV noch erforderlich 
sind - sei es in Akten oder Dateien. 

Wenn das BfV personenbezogene Daten in Dateien und/ 
oder Akten löscht, liegt dem immer die Entscheidung zu 
Grunde, dass diese Daten für die Aufgabenerfüllung nichf 
mehr erforderlich sind. Von einem irgendwie gearteten 
Automatismus kann also nicht die Rede sein. 

7.7.6 Reform des Verfassungsschutzes - 
aber wie? 

Bei der Diskussion über die Konsequenzen aus dem Versa- 
gen der Sicherheitsbehörden gegen rechtsterroristische Ak- 
tivitäten geht Gründlichkeit vor Schnelligkeit. Verfassungs- 
rechtliche Garantien dürfen nicht angetastet werden. 

Die Erkenntnisse über die rechtsextremistische Terror- 
gruppe Nationalsozialistischer Untergrund (NSU) sind 
schockierend. Der Deutsche Bundestag untersucht, wes- 
halb diese Terrorgruppe über viele Jahre unerkannt blei- 
ben konnte und welche Folgen dies für die Sicherheifsbe- 
hörden hat. Ursachen und Fehlentwicklungen müssen 
gründlich ermittelt werden. Nur dann können sachge- 
rechte Reformen erfolgen. Aktionismus ist nicht zielfüh- 
rend und kann Ursachen ungewollt verdecken. Erforder- 
lich ist eine effiziente Kontrolle der Nachrichtendienste - 
ihr entgegenstehende praktische und gesetzliche Hinder- 
nisse müssen beseitigt werden. 

Im Januar 2012 hat der Deutsche Bundestag einen Untersu- 
chungsausschuss zur Aufklärung der „Mordserie der rechts- 
extremistischen Terrorgruppe „Nationalsozialistischer 
Untergrund (NSU)“ (Bundestagsdrucksache 17/8453) ein- 
gesetzt. Dieser prüft, ob bzw. welche „Fehler oder Ver- 
säumnisse“ auf Seiten der Sicherheitsbehörden vorliegen 
und „welche Schlussfolgerungen im Blick auf den 
Rechtsextremismus für die Struktur und Organisation der 
Sicherheits- und Ermittlungsbehörden [...] gezogen wer- 
den müssen“. 

Für diese Untersuchungen hatte mich der Ausschuss um 
ein Gutachten gebeten, insbesondere zur rechtlichen Be- 
wertung der im Bundesamt für Verfassungsschufz (BfV) 
durchgeführten Datenlöschungen (vgl. Nr. 7.7.5). Die 
Untersuchungen werden voraussichtlich bis zum 
Sommer 2013 andauem. 

Im Dezember 2012 hat die Konferenz der Innenminister 
und -Senatoren (IMK) des Bundes und der Länder auf- 
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grund der NSU-Ereignisse Beschlüsse zur Reform bzw. 
Neuausrichtung des Verfassungsschutzes gefasst. So soll 
ein verpflichtender wechselseitiger Informationsaus- 
tausch zu schnelleren und besseren Ergebnissen bei der 
Bekämpfung von Extremisten führen. Die Landesverfas- 
sungsschutzbehörden (LfV) müssen künftig unverzüglich 
alle relevanten Informationen an den Bund übermitteln. 
Das BfV koordiniert diesen Informationsfluss und unter- 
richtet seinerseits die LfV über relevante Erkenntnisse 
und Ergebnisse eigener Informationsauswertungen. Zu- 
dem sollen V-Leute nur noch nach bundesweit einheitli- 
chen Standards eingesetzt und in einer zentralen Datei 
gespeichert werden. Auf diese Weise sollen die Verfas- 
sungsschutzbehörden untereinander wissen, wer welche 
V-Leute führt. Gewährleistet werden sollen auch eine um- 
fassende parlamentarische Kontrolle sowie mehr Trans- 
parenz gegenüber der Öffentlichkeit. 

Vorschläge der Fraktionen 

Die Fraktionen des Deutschen Bundestages haben eben- 
falls Reformvorschläge entwickelt. Von zentraler Bedeu- 
tung ist hierbei die Stärkung der parlamentarischen 
Kontrolle. So soll beispielsweise das Parlamentarische 
Kontrollgremium des Deutschen Bundestages (PKGr), 
das die Nachrichtendienste des Bundes umfassend kon- 
trolliert, nach Auffassung der Fraktionen von CDU/CSU, 
SPD und BÜNDNIS 90/DIE GRÜNEN gestärkt werden. 
Die CDU/CSU-Fraktion befürwortet die Einsetzung eines 
Nachrichtendienstbeauftragten. 

Die Fraktion BÜNDNIS 90/DIE GRÜNEN plädiert zu- 
dem für eine Stärkung der Datenschutzkontrolle als zen- 
trales Element der Kontrolle der Nachrichtendienste. Dies 
begrüße ich. 

Kontrollkompetenzen 

Ebenso wie das PKGr kontrolliere auch ich die Nachrich- 
tendienste des Bundes, jedoch nur, soweit diese personen- 
bezogenen Daten erheben oder verwenden. Bedauer- 
licherweise musste ich den Aufsichtsbehörden und dem 
Deutschen Bundestag wiederholt berichten, dass ich 
meine Kontrollen (teilweise) nicht bzw. nicht effizient 
durchführen konnte. Ursachen hierfür waren geltend ge- 
machte Quellenschutzerwägungen, der vermeintliche 
Schutz anderer Nachrichtengeber (z. B. ausländischer 
Nachrichtendienste) sowie das (teilweise) Bestreiten mei- 
ner Prüfkompetenz (vgl. 23. TB Nr. 7.1.6). 

Gravierende Kontrolllücken ergeben sich in der Praxis 
auch aus den unterschiedlichen Kompetenzen der Kon- 
trollorgane (G 10-Kommission des Deutschen Bundesta- 
ges, PKGr und meine Behörde). So ist z. B. die G 10- 
Kommission allein zuständig für die Kontrolle der perso- 
nenbezogenen Daten, die nach dem Artikel 10-Gesetz 
(G 10) erhoben worden sind. Dadurch entsteht faktisch 
ein kontrollfreier Raum - und zwar generell in allen Fäl- 
len, in denen G 10-Erkenntnisse (teilweise) zur Legiti- 
mierung von nachrichtendienstlichen Maßnahmen dienen 
und mir die Überprüfung der Rechtmäßigkeit dieser Maß- 
nahmen gesetzlich zugewiesen ist (vgl. Nr. 7.7.2). 


Lösbar ist dieses Problem durch eine gesetzliche Klarstel- 
lung in Artikel 15 Absatz 5 G 10 oder § 24 Absatz 4 Bun- 
desdatenschutzgesetz (BDSG). Dort könnte geregelt 
werden, dass ich für meine Kontrollen auch G 10-Er- 
kenntnisse einsehen darf Die Kompetenz der G 10-Kom- 
mission bliebe unberührt. Sie wäre weiterhin allein be- 
rechtigt, die Beachtung der Vorgaben des G 10 zu prüfen. 

Gemeinsames Abwehrzentrum 

Bereits wenige Wochen nach Bekanntwerden der Strafta- 
ten des NSU hatte der Bundesminister des Innern am 
16. Dezember 2011 als Konsequenz dieser Ereignisse das 
„Gemeinsame Abwehrzentrum gegen Rechtsextremis- 
mus“ (GAR) eröffnet. Dieses ist keine neue Behörde. 
Ebenso wie das Gemeinsame Terrorismusabwehrzentrum 
(GTAZ - vgl. 21. TB Nr. 5.1.4) ist es eine Informations- 
und Kommunikationsplattform. Dort tauschen die Exper- 
ten der beteiligten Behörden zur Abwehr des Rechtsextre- 
mismusZ-terrorismus bzw. der politisch motivierten 
Kriminalität (PMK-rechts) ihre Informationen in ver- 
schiedenen Arbeitsgruppen aus. Dabei arbeiten sie nach 
den für sie jeweils geltenden Aufgaben und Befugnissen. 
Auf diese Weise soll das Fachwissen der Behörden ge- 
bündelt und ein möglichst lückenloser und schneller In- 
formationsfluss gewährleistet werden. Beteiligt am GAR 
sind auf Bundesebene das Bundeskriminalamt, das BfV, 
der Bundesnachrichtendienst, die Bundespolizei, der Ge- 
neralbundesanwalt und der Militärische Abschirmdienst. 
Teilnehmer auf Landesebene sind die Landeskriminaläm- 
ter sowie die LfV. Ebenfalls beteiligt ist das Europäische 
Polizeiamt (Europol). 

Im November 2012 hat das „Gemeinsame Extremismus- 
und Terrorismusabwehrzentrums (GETZ)“, in dem das 
GAR aufgegangen ist, seine Arbeit aufgenommen. Sitz 
des GETZ sind die Standorte des Bundesamtes für Ver- 
fassungsschutz und Bundeskriminalamtes in Köln und 
Meckenheim. Die Zusammenarbeit der Sicherheitsbehör- 
den ist dadurch weiter ausgebaut worden. Sie beschränkt 
sich nicht mehr auf den Bereich des Rechtsextremismus 
und -terrorismus. Das GETZ füngiert als eine Informa- 
tions- und Kommunikationsplattform zur Abwehr aller 
Arten des Extremismus und Terrorismus. 

Reaktion der Datenschutzbeauftragten 

Die Konferenz der Datenschutzbeauftragten des Bundes 
und der Länder hat in ihrer Entschließung vom Novem- 
ber 2012 (vgl. Kasten zu Nr. 7.7.6) daraufhingewiesen, 
dass eine Reform der Sicherheitsbehörden nur nach einer 
gründlichen Aufklärung der Ursachen und Fehlentwick- 
lungen erfolgen darf Bei diesen Untersuchungen ist zu 
berücksichtigen, dass bereits weitgehende gesetzliche 
Pflichten und Berechtigungen für umfassende Datenüber- 
mittlungen innerhalb der Polizeien und Nachrichten- 
dienste sowie zwischen diesen Behörden existieren. 
Vollzugsdefizite aufgrund fehlender Kenntnis oder Nicht- 
beachtung dieser Vorschriften sowie Mentalitätsprobleme 
bei Mitarbeiterinnen der Sicherheitsbehörden können 
neue Gesetze oder Dateien nicht beseitigen. Hierfür be- 
darf es anderer Maßnahmen, insbesondere effizienter 
Kontrollen. 
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Kasten zu Nr. 1 .1 .6 


Entschließung der 84. Konferenz der Datenschutzbeauftragten des Bundes und der Länder 
am IM. November 2012 in Frankfurt (Oder) 

Reform der Sicherheitsbehörden: Der Datenschutz darf nicht auf der Strecke bleiben 

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder weist Versuche zurück, vermeintlich „über- 
zogene“ Datenschutzanforderungen für das Versagen der Sicherheitsbehörden bei der Aufdeckung und Verfolgung 
rechtsextremistischer Terroristen verantwortlich zu machen und neue Datenverarbeitungsbefügnisse zu begründen. 

Sie fordert die Bundesregierung und die Landesregierungen auf, vor einer Reform der Struktur und Arbeitsweise der 
Polizei- und Verfassungsschutzbehörden zunächst die Befugnisse, den Zuschnitt und die Zusammenarbeit der Verfas- 
sungsschutzbehörden vor dem Hintergrund der aufgetretenen Probleme zu evaluieren. Nur auf dieser Grundlage kann 
eine Diskussion über Reformen seriös geführt und ein Mehrwert für Grundrechtsschutz und Sicherheit erreicht wer- 
den. 

ln datenschutzrechtlicher Hinsicht geklärt werden muss insbesondere, ob die bestehenden Vorschriften in der Vergan- 
genheit richtig angewandt, Arbeitsschwerpunkte richtig gesetzt und Ressourcen zielgerichtet verwendet worden sind, 
ln diesem Zusammenhang ist auch zu untersuchen, ob die gesetzlichen Vorgaben den verfassungsrechtlichen Anfor- 
derungen genügen, also verhältnismäßig, hinreichend klar und bestimmt sind. Nur wenn Ursachen und Fehlentwick- 
lungen bekannt sind, können Regierungen und Gesetzgeber die richtigen Schlüsse ziehen. Gründlichkeit geht dabei 
vor Schnelligkeit. 

Schon jetzt haben die Sicherheitsbehörden weitreichende Befugnisse zum Informationsaustausch. 

Die Sicherheitsgesetze verpflichten Polizei, Nachrichtendienste und andere Behörden bereits heute zu umfassenden 
Datenübermittlungen. Neue Gesetze können alte Vollzugsdefizite nicht beseitigen. 

Bei einer Reform der Sicherheitsbehörden sind der Grundrechtsschutz der Bürgerinnen und Bürger, das Treimungsge- 
bot, die informationeile Gewaltenteilung im Bundesstaat und eine effiziente rechtsstaatliche Kontrolle der Nachrich- 
tendienste zu gewährleisten. 

Eine effiziente Kontrolle schützt die Betroffenen und verhindert, dass Prozesse sich verselbständigen, Gesetze über- 
sehen und Ressourcen zu Lasten der Sicherheit falsch eingesetzt werden. Nur so kann das Vertrauen in die Arbeit der 
Sicherheitsbehörden bewahrt und gegebenenfalls wieder hergestellt werden. 

Datenschutz und Sicherheit sind kein Widerspruch. Sie müssen Zusammenwirken im Interesse der Bürgerinnen und 
Bürger. 


7.8 Sicherheitsüberprüfungsgesetz 

7.8.1 Noveiie des Sicherheitsüberprüfungs- 

gesetzes 

Bei der geplanten Änderung des Sicherheitsüberprü- 
fungsgesetzes muss das erforderliche Datenschutzniveau 
im Geheim- und Sabotageschutz gewahrt bleiben. 

Seit Herbst 2012 erörtert die Bundesregierung erste Ent- 
würfe zur Reform des Sicherheitsüberprüfungsgesetzes 
(SÜG). An diesen internen Beratungen nehme ich teil. 

Das Sicherheitsüberprüfungsverfahren stellt einen erheb- 
lichen Eingriff in das informationelle Selbstbestim- 
mungsrecht des Betroffenen dar. Gleichzeitig ist es für 
den personellen Geheimschutz und damit für die Sicher- 
heitsinteressen des demokratischen Rechtsstaates unver- 
zichtbar. Ein hohes Datenschutzniveau, das auch die Ak- 
zeptanz des Verfahrens bei den Betroffenen gewährleistet, 
ist dabei unerlässlich. Im Zentrum meines Interesses ste- 
hen hierbei: 

- Eine lückenlose und effiziente Datenschutzkontrolle 
der im Rahmen der Sicherheitsüberprüfung erhobenen 


Daten sowie ihrer Verwendung zu gewährleisten. Dies 
heißt auch: Bestehende Beschränkungen, die eine 
wirksame Kontrolle behindern, müssen aufgehoben 
werden (vgl. auch Nr. 7.7.6); 

- keine Aufweichung der strengen Zweckbindung für 
im Rahmen der Sicherheitsüberprüfung erhobene per- 
sonenbezogene Daten; 

- die Beibehaltung restriktiver Bestimmungen, für die 
elektronische Verarbeitung der Sicherheits- und Si- 
cherheitsüberprüfungsunterlagen. Insbesondere ein 
automatisierter Zugriff auf Volltextbestände wäre aus 
Sicht des Datenschutzes nicht tragbar. 

Zum Zeitpunkt des Redaktionsschluss war das Gesetzge- 
bungsverfahren noch nicht abgeschlossen. 

7.8.2 „Kunst und Wissenschaft sind frei ...“ 

Die Erforderlichkeit von Sicherheitsüberprüfungen bei 
Künstlern und Wissenschaftlern habe ich in zwei konkre- 
ten Fällen hinterfragt - mit unterschiedlichen Ergebnis- 
sen. 
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Im ersten Fall hat mich ein Künstler auf eine Ausschrei- 
bung aufmerksam gemacht: Beim Wettbewerb „Offene 
Kunst am Bau“ für die gemeinsame Schule von Bundesamt 
für Verfassungsschutz (BfV) und Bundesnachrichtendienst 
(BND) wurde als Voraussetzung für die Realisierung des 
Kunsfwerkes die Durchführung einer Sicherheitsüberprü- 
fung gern. § 8 Sicherheitsüberprüfungsgesetz (SÜG) ge- 
nannt. 

Auch wenn es sich dabei um die niedrigste Stufe der Si- 
cherheitsüberprüfung (Ül) handelt, so stellt diese Maß- 
nahme doch bereits einen erheblichen Eingriff in das in- 
formationelle Selbstbestimmungsrecht des Betroffenen 
dar. ln der Sicherheitserklärung muss dieser umfangrei- 
che Angaben machen - unter anderem wird er zu seiner 
finanziellen Situation befragt. Dann werden Bundeszen- 
tralregister, Bundeskriminalamt, Bundespolizei, Bundes- 
nachrichtendienst, Militärischer Abschirmdienst, und die 
Landesämter für Verfassungsschufz angefragt, ob dort In- 
formationen zu dem Betroffenen gespeichert sind. 
Schließlich werden Daten des Überprüften im NADIS, 
der Verbunddatei der Verfassungsschutzbehörden gespei- 
chert. 

Gegenüber der zuständigen Stelle, in diesem Fall das 
Bundesamt für Bauwesen und Raumordnung (BBR), 
habe ich darauf hingewiesen, dass ich diesen Eingriff für 
unverhältnismäßig halte. Der BND gilt zwar auf Grund 
des Umfanges und der Bedeutung dort anfallender Ver- 
schlusssachen durchgehend als Sicherheitsbereich. 
Gleichwohl kann die zuständige Stelle von der o. g. Über- 
prüfung absehen, wenn Art oder Dauer der Tätigkeit dies 
zulassen. Nach meiner Auffassung wäre die Durchfüh- 
rung einer Sicherheitsüberprüfung bei einem Künstler, 
der sich für einen begrenzten Zeitraum zur Installation ei- 
nes Kunstwerks in einem begrenzten räumlichen Bereich 
einer BND-Liegenschaft aufhalten soll, datenschutzrecht- 
lich nicht gerechtfertigt, zumal mit dessen Begleitung 
bzw. Beaufsichtigung ein milderes Mittel zur Erreichung 
des mit der Sicherheitsüberprüfung verfolgten Zwecks 
zur Verfügung sfeht. Das BBR ist dieser Einschätzung er- 
freulicher Weise gefolgt. 

ln einem weiteren Fall sollten Historiker, die im Rahmen 
des Forschungsprojekts zur „Organisationsgeschichte des 
Bundesamtes für Verfassungsschutz 1950 bis 1975, unter 
besonderer Berücksichtigung der NS-Bezüge früherer 
Mitarbeiter in der Gründungsphase“ mit der Vergangen- 
heitsaufarbeitung des BfV betraut wurden, nach der 
höchsten Überprüfungsstufe gern. § 10 SÜG (Ü3), über- 
prüft werden. Hierbei werden die Partner der Betroffenen 
in die Maßnahme einbezogen und zusätzlich zu den oben 
genannten Dateiabfragen Referenz- und Auskunftsperso- 
nen zu den Überprüften befragt. 

Ich hatte gegenüber dem Bundesministerium des Inneren 
(BMI) angeregt, dass das BfV als die zuständige Stelle 
von der Durchführung einer Ü3 absehen sollte, da ich hier 
eine einfache Sicherheitsüberprüfung nach § 8 SÜG (Ül) 
oder eine erweiterte Sicherheitsüberprüfung ohne Sicher- 
heitsermittlungen gern. § 9 SÜG - Ü2) für ausreichend 
hielt. 


- Die Wissenschaftler sollten laut Ausschreibung aus- 
schließlich Zugang zu Verschlusssachen bis zur Ein- 
stufung GEHEIM erhalten. 

- Zudem soll lediglich die Organisationsgeschichte des 
BfV von 1950 bis 1975 erforscht werden. Die für das 
Projekt auszuwertenden Unterlagen wären mithin 
mindestens 36 Jahre alt so dass eine sorgfältige Prü- 
fung, in welchem Umfang der ggf zur Zeit noch 
bestehende VS-Grad der in Frage kommenden Unterla- 
gen aufrechterhalten werden müsste, vorrangig durch- 
zuführen wäre. Dies wäre auch im Hinblick auf die 
Verwertbarkeit der Daten im Rahmen der historischen 
Forschung zielführend. 

Das BfV isf meiner Anregung leider nicht gefolgt. Ich 
werde nach Abschluss des Geschichtsprojektes prüfen, 
inwieweit seine Argumentation stichhaltig war. 

7.9 Bundeszentralregister 

7.9.1 Forschungsdaten aus dem 
Bundeszentralregister 

Die Übermittlung von Daten zu Forschungszwecken ist 
im Bundeszentralregistergesetz enger geregelt worden. 

Personenbezogene Daten aus dem Bundeszentralregister 
sind für bestimmte Forschungsvorhaben notwendig. Dies 
gilt etwa, wenn eine Universität die langfristige Entwick- 
lung der Kriminalität in einem bestimmten Bereich erfor- 
schen möchte. Um etwa Rückfallhäufigkeiten zu erfassen, 
kommt es bisweilen dazu, dass für ein Forschungsvorha- 
ben in längeren Absfänden mehrfach Daten übermittelt 
werden, ln solchen Fällen darf aber kein umfassender 
„Parallelbestand“ zum Bundeszentralregister bei einer 
forschenden Stelle aufgebaut werden. Der Gesetzgeber 
hat deshalb die entsprechende Forschungsklausel des 
Bundeszentralregistergesetzes (§ 42a BZRG) überarbei- 
tet. Danach gelten höhere Anforderungen, wenn perso- 
nenbezogene Daten aus diesem Register mehrfach zu der- 
selben Person oder Personengruppe übermittelt werden 
sollen. Dabei bin ich zu beteiligen. Umfassende Daten- 
übermittlungen bleiben aber problematisch. Sofern etwa 
umfassende Statistiken erstellt werden sollen, wäre eine 
statistikrechtliche Regelung notwendig. 

7.9.2 Wo stelle Ich meinen Antrag auf ein 
Führungszeugnis? 

Nach § 30 Absatz 1 Bundeszentralregistergesetz (BZRG) 
wird jeder Person, die das 14. Lebensjahr vollendet hat, 
auf Antrag ein Zeugnis über den sie betreffenden Inhalt 
des Registers (Führungszeugnis) erteilt. Klingt einfach, 
ist es aber nicht immer. 

Haben Sie schon einmal ein Führungszeugnis beantragt? 
Nach § 30 Absatz 2 BZRG ist der Antrag bei der Melde- 
behörde zu stellen, in deren Zuständigkeitsbereich die an- 
tragstellende Person amtlich gemeldet ist. Für die meisten 
Menschen ist das unproblematisch. 



Deutscher Bundestag - 17. Wahlperiode 


-113- 


Drucksache 17/13000 


Allerdings haben sieh aueh Petenten an mieh gewandt, 
die Sehwierigkeiten hatten, ein solehes Führungszeugnis 
zu erhalten. Dabei handelte es sieh um Mensehen, für die 
keine Meldepflieht besteht. Dies sind Mitglieder auslän- 
diseher diplomatiseher Missionen oder ausländiseher 
konsulariseher Vertretungen, bzw. in Deutsehland statio- 
nierte Angehörige ausländiseher Streitkräfte. Aueh aus- 
ländisehe Staatsangehörige, die sieh nur vorübergehend 
in Deutsehland aufhielten, oder Mensehen ohne festen 
Wohnsitz hatten Probleme, ein Führungszeugnis zu bean- 
tragen. Wenn diese Personen bei den Meldebehörden an 
ihrem Wohn- bzw. Aufenthaltsort vorspraehen, wurden 
sie darauf verwiesen, den Antrag unmittelbar beim Bun- 
desamt für Justiz (BfJ) zu stellen. Das BfJ wiederum ver- 
wies auf die Meldebehörde. 

Denn beim BfJ können nur Betroffene ein Führungszeug- 
nis beantragen, die sieh tatsäehlieh im Ausland aufhalten. 
Für alle anderen ist das BfJ nieht zuständig. Wer von der 
Meldepflicht befreit ist, kann und muss den Antrag bei 
der Meldebehörde stellen, in deren Bezirk er sich ge- 
wöhnlich aufhält. 

Ich habe zusammen mit den Datenschutzbeauftragten der 
Länder, die die Datenschutzaufsicht über die kommuna- 
len Stellen führen, eine entsprechende Information für die 
Meldebehörden herausgegeben. Seitdem hat mich nie- 
mand mehr wegen dieses Problems um Unterstützung er- 
sucht. 

7.10 Geldwäschegesetz 

Im Geldwäscherecht gab es eine Vielzahl von Änderun- 
gen, die aus datenschutzrechtlicher Perspektive durchaus 
problematisch sind. 

Die Novelle 2011 des Geldwäschegesetzes (GwG) 

Durch das Gesetz zur Geldwäscheprävention vom 
22. Dezember 2011 (BGBl. 1 S. 2959) fand eine umfang- 
reiche Novellierung des GwG statt, um vor allem die von 
der bei der OECD angesiedelte Financial Action Task 
Force on Money Laundering (FATF) festgestellten Defi- 
zite zu beseitigen. Zudem erreichten die Verdachtsanzei- 
gen nach dem GwG im Jahr 2011 einen neuen Höchst- 
stand (12 868). 

Im Wesentlichen hat die Novelle zu einer Verschärfung 
und Ausweitung der Sorgfalts- und Meldepflichten, des 
Verpfiichtetenkreises, der internen Sicherungsmaßnah- 
men sowie einer Absenkung der Verdachtsstufen geführt. 
Im Zuge der Verschärfung der Sorgfaltspflichten (u. a. 
Identifizierungspflicht des Vertragspartners) wurden die 
Datenspeicherungs- bzw. Datenerhebungspfiichten der 
nach dem GwG Verpflichteten deutlich ausgeweitet (vgl. 
Kasten zu Nr. 7.10). Die erheblichen Bußgeldandrohun- 
gen bei Verletzungen von Sorgfaltspfiichten dürften zu- 
dem den Druck erhöhen, auch überobligatorisch Daten zu 
sammeln und an das Bundeskriminalamt (BKA) und an- 
dere Strafverfolgungsbehörden weiterzuleiten. 


So sind die Sorgfaltspfiichten (und die daran anknüpfen- 
den Meldepflichten) nun bereits dann zu erfüllen, wenn 
ein Geldtransfer außerhalb einer Geschäftsbeziehung ei- 
nen Betrag im Wert von 1 000 Euro oder mehr ausmacht. 
Auch verzichtet das GwG jetzt auf konkrete Anhalts- 
punkte, die auf eine Geldwäschetat oder Terrorismus- 
finanzierung schließen lassen; es reicht bereits das Vorlie- 
gen von Tatsachen, die auf solche Taten hindeuten. Die 
Verpflichteten sollen zudem darüber hinaus bei allen aus 
ihrer Sicht ungewöhnlichen und auffälligen Geschäftsbe- 
ziehungen mit Geldwäscherelevanz frühzeitig eine Mel- 
dung an das BKA und die zuständige Strafverfolgungsbe- 
hörde erstatten, ln „Niedrigrisikofällen“ kann auch nicht 
mehr von der Meldung abgesehen werden, da lediglich 
der Umfang der Identitätsprüfung und der Überwachung 
reduziert werden kann. 


Verstärkte Sorgfaltspflichten bei politisch exponierten 
Personen 

Auch bei den sog. politisch exponierten Personen (PEP) 
greifen nach der Gesetzesnovelle verstärkte Sorgfalts- 
pfiichten ein, wobei der Anwendungsbereich erheblich 
ausgeweitet wurde. Bereits im Gesetzgebungsverfahren 
hatte ich dagegen datenschutzrechtliche Bedenken gel- 
tend gemacht. So lassen sich aus meiner Sicht diese ver- 
stärkten Sorgfaltspfiichten nur für Fälle rechtfertigen, in 
denen tatsächlich von einem erhöhten Risiko auszugehen 
ist. Im Gesetzgebungsverfahren wurde meinen Forderun- 
gen nach einer grundrechtsfreundlicheren Lösung - zu- 
mindest bezogenen auf PEP, die ihr Amt im Inland aus- 
üben - teilweise Rechnung getragen. 

Äußerst kritisch sehe ich auch die in der Praxis verbreite- 
ten „PEP-Listen“, denn diese werden von kommerziellen 
Anbietern zusammengestellt und veräußert. Die PEP-Lis- 
ten setzen sich regelmäßig aus verschiedenen Informatio- 
nen zusammen (z. B. Name, Aliasname, Geburtsdatum, 
Nationalität, Wohnort, Werdegang, gegenwärtige Posi- 
tion, familiäre und geschäftliche Beziehungen, Fotogra- 
fien etc.). Bei von ausländischen Anbietern erstellten 
Listen ist eine Kontrolle durch europäische Datenschutz- 
behörden nicht möglich, so dass auch die Rechtsstaatlich- 
keit der Datenerfassung nicht kontrolliert werden kann. 
Die Auslegungs- und Anwendungshinweise des Zollkri- 
minalamts stellen zwar fest, dass keine Verpflichtung be- 
steht, derartige kommerzielle PEP-Listen zu benutzen. 
Dennoch werden die ausländischen Listen in der Praxis 
regelmäßig verwendet. 

Änderungen im E-Geld-Geschäft 

Auch für den E-Geld-Verkehr wurde der Verpflichteten- 
kreis erweitert und die Möglichkeiten des anonymen elekt- 
ronischen Bezahlens erheblich eingeschränkt. Immerhin 
habe ich im Gesetzgebungsverfahren erreichen können, 
dass die ursprünglich vorgesehene umfangreiche Pflicht 
zur Identifizierung von Kunden beim Kauf von E-Geld 
(insbesondere Prepaid-Karten) abgemildert wurde. Da- 
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nach greifen die Identifikations- und besonderen Sorg- 
faltspflichten nur, wenn der auf einem E-Geld-Träger ge- 
speicherte E-Geld-Betrag mehr als 100 Euro pro 
Kalendermonat beträgt. Bei der Ermittlung des Höchstbe- 
trags 100 Euro bestehen indes immer noch einige Unsi- 
cherheiten, die dazu führen könnten, dass überobligato- 
risch personenbezogene Daten gesammelt werden. Eine 
Klarstellung durch die BaFin, wie in der Praxis verfahren 
wird, wäre sicherlich sinnvoll. 


Geldwäscheprävention anch beim legalen Glückspiel 

Auch die Anbieter legaler Glückspiele im Internet und die 
von ihnen beauftragten Kredit- und Zahlungsinstitute ha- 
ben nach dem Geldwäscheergänzungsgesetz eine flächen- 
deckende Kontrolle zu gewährleisten. Die Verschärfung 
von Sorgfalts- und Meldepflichten sowie der Sanktions- 
mechanismus nach der o. g. GwG-Novelle werden damit 
auf den Bereich des Glücksspiels erstreckt. 


Kasten zu Nr. 7.10 


§ 6 Geldwäschegesetz - Verstärkte Sorgfaltspflichten 

(1) Soweit erhöhte Risiken bezüglich der Geldwäsche oder der Terrorismusfinanzierung bestehen können, haben 
Verpflichtete zusätzliche, dem erhöhten Risiko angemessene verstärkte Sorgfaltspfiichten zu erfüllen. § 3 Abs. 4 
Satz 2 und Abs. 6 findet entsprechende Anwendung. 

(2) Insbesondere in folgenden Fällen ist von einem erhöhten Risiko auszugehen und sind die nachstehend jeweils 
aufgeführten verstärkten Sorgfaltspfiichten zu erfüllen: 

1 . Ein Verpflichteter hat angemessene, risikoorientierte Verfahren anzuwenden, mit denen bestimmt werden kann, ob es 
sich bei dem Vertragspartner und, soweit vorhanden, dem wirtschaftlich Berechtigten um eine natürliche Person han- 
delt, die ein wichtiges öffentliches Amt ausübt oder ausgeübt hat, oder um ein unmittelbares Familienmitglied dieser 
Person oder eine ihr bekanntermaßen nahestehende Person im Sinne des Artikels 2 der Richtlinie 2006/70/EG der 
Kommission vom 1. August 2006 mit Durchführungsbestimmungen für die Richtlinie 2005/60/EG des Europäi- 
schen Parlaments und des Rates hinsichtlich der Begriffsbestimmung von , politisch exponierte Personen‘ und der 
Festlegung der technischen Kriterien für vereinfachte Sorgfaltspfiichten sowie für die Befreiung in Fällen, in de- 
nen nur gelegentlich oder in sehr eingeschränktem Umfang Finanzgeschäfte getätigt werden (ABI. L 214 vom 
4. August 2006, S. 29). Hierbei gelten öffentliche Ämter unterhalb der nationalen Ebene in der Regel nur dann als 
wichtig, wenn deren politische Bedeutung mit der ähnlicher Positionen auf nationaler Ebene vergleichbar ist. So- 
weit ein Verpflichteter abklären muss, ob der Vertragspartner oder der wirtschaftlich Berechtigte einer Person, die 
wichtige öffentliche Ämter ausübt, nahesteht, ist er hierzu nur insoweit verpflichtet, als diese Beziehung öffentlich 
bekannt ist oder der Verpflichtete Grund zu der Annahme hat, dass eine derartige Beziehung besteht; er ist jedoch 
nicht verpflichtet, hierzu Nachforschungen anzustellen. Handelt es sich bei dem Vertragspartner oder dem wirt- 
schaftlich Berechtigten um eine politisch exponierte Person in diesem Sinne, so gilt Folgendes: 

a) Die Begründung einer Geschäflsbeziehung durch einen für den Verpflichteten Handelnden ist von der Zustim- 
mung eines diesem Vorgesetzten Mitarbeiters abhängig zu machen, 

b) es sind angemessene Maßnahmen zu ergreifen, mit denen die Herkunft der Vermögenswerte bestimmt werden 
kann, die im Rahmen der Geschäftsbeziehung oder der Transaktion eingesetzt werden, und 

c) die Geschäftsbeziehung ist einer verstärkten kontinuierlichen Überwachung zu unterziehen. 

Für den Fall, dass der Vertragspartner oder der wirtschaftlich Berechtigte erst im Laufe der Geschäftsbeziehung 
ein wichtiges öffentliches Amt ausübt oder der Verpflichtete erst nach Begründung der Geschäftsbeziehung von 
der Ausübung eines wichtigen öffentlichen Amts durch den Vertragspartner oder dem wirtschaftlich Berechtigten 
Kenntnis erlangt, tritt an die Stelle der Zustimmung des für den Verpflichteten handelnden Vorgesetzten Mitarbei- 
ters dessen Genehmigung zur Fortführung der Geschäftsbeziehung. Der Vertragspartner hat dem Verpflichteten 
die für die Abklärung notwendigen Informationen zur Verfügung zu stellen und die sich im Laufe der Geschäfts- 
beziehung ergebenden Änderungen unverzüglich anzuzeigen. Soweit es sich bei dem Vertragspartner oder dem 
wirtschaftlich Berechtigten um eine politisch exponierte Person handelt, die ihr wichtiges öffentliches Amt im In- 
land oder als im Inland gewählte Abgeordnete des Europäischen Parlaments ausübt, oder soweit der Vertragspart- 
ner oder der wirtschaftlich Berechtigte seit mindestens einem Jahr kein wichtiges öffentliches Amt mehr ausgeübt 
hat, gelten vorbehaltlich einer Risikobewertung im Einzelfall die allgemeinen Sorgfaltspfiichten nach § 3. 

(...) 
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8 Innere Verwaltung und Rechtswesen 

8.1 Statistik 

8.1 .1 Zensus 2011 - War da was? 

Am 9. Mai 2011 war Stichtag der Volkszählung in 
Deutschland. Hauptsächlich als Registerzählung konzi- 
piert, hat der Zensus 2011 viele gar nicht unmittelbar be- 
rührt. Dass aber hinter den Kulissen die praktische 
Durchführung des Zensus 2011 beim Statistischen Bun- 
desamt ganz überwiegend datenschutzgerecht abläuft, 
davon habe ich mich überzeugt. 

Die in mehljährigem Rhythmus durchgefuhrten Volkszäh- 
lungen sind die statistischen Großereignisse schlechthin. 
Bisweilen erregen sie auch die Gemüter - wie die letzte 
(west-)deutsche Volkszählung, die zunächst für 1983 ge- 
plant, auf Grund der Monita des Bundesverfassungsge- 
richts aber erst 1987 durchgeführt wurde. Das Volkszäh- 
lungsurteil vom 19. Dezember 1983 (BVerfGE 65, 1, S. 1 - 
abrufbar unter www.zensus2011.de) ist seither die „Bibel“ 
aller Datenschützer. Wie kein zweites Ereignis haben die 
Volkszählung und das Volkszählungsurteil des Bundesver- 
fassungsgerichts den rechtlichen Rahmen und das Ver- 
ständnis für den Datenschutz in Deutschland geprägt. 

Wer allerdings gedacht hätte, dass der Zensus 2011 ver- 
gleichbare Aufmerksamkeit und Proteste auf sich ziehen 
würde, sah sich getäuscht. Die neue - registergestützte - 
Volkszählung lief im Großen und Ganzen unspektakulär 
ab und beschäftigte die Öffentlichkeit nur am Rande. Für 
mich und meine Mitarbeiterinnen und Mitarbeiter war 
dies aber kein Grund, weniger genau hinzusehen, ln einer 
Vielzahl von Beratungsgesprächen und bei Prüfungen vor 
Ort habe ich darauf geachtet, dass die gesetzlichen und 
verfassungsrechtlichen Vorgaben eingehalten werden. Da 
die Durchführung des Zensus vor Ort durch die Statisti- 
schen Landesämter erfolgt, liegt die datenschutzrechtli- 
che Kontrollzuständigkeit dafür bei den Landesbeauftrag- 
ten für den Datenschufz, mit denen ich mich vor, während 
und nach dem Zensus abgestimmt habe. 

Zum Stichtag hatten sämtliche Meldebehörden Daten- 
sätze über alle Einwohnerinnen und Einwohner an die 
Statistischen Ämter übermittelt. Auch von der Bundes- 
agentur für Arbeit kamen umfangreiche Daten. Sämtliche 
Eigentümer bzw. Verwalter der Gebäude und Wohnungen 
in Deutschland wurden im Rahmen einer Gebäude- und 
Wohnungszählung zu diesen befragt. Lediglich bei 
9,6 Prozent der Bevölkerung - immerhin noch fast 8 Mil- 
lionen - fand darüber hinaus eine Haushaltebefragung 
statt, wobei die Auskunftspflichtigen in etwa dieselben 
Merkmale anzugeben hatten wie bei der Vollerhebung 
1983 sämtliche Bürgerinnen und Bürger. Rechtsgrund- 
lage für diese Erhebungen isf das Gesefz über den regis- 
tergestützten Zensus im Jahre 2011 (Zensusgesetz 2011 - 
ZensG 2011, vgl. 23. TB Nr. 8.1.1). 

Das Statistische Bundesamt hat für den Zensus einen so 
genannten Referenzdatenbestand aufgebaut. Dieser setzt 
sich zusammen aus dem Anschriften- und Gebäuderegis- 
ter und dem Melde- und Erwerbsdatenregister (vgl. Kas- 
ten zu Nr. 8.1.1). 

Ein Zugriff auf die Daten ist im Statistischen Bundesamt 
nur in einem speziell gesicherten Bereich und nur durch 


eigens dafür autorisierte Personen möglich. Bei einem 
Kontrollbesuch habe ich mir die Arbeitsplätze in diesem 
gesicherten Bereich zeigen lassen. Mir wurden der Auf- 
bau der beim Statistischen Bundesamt vorhandenen Re- 
gister bzw. Datenbestände sowie das Verfahren der Zen- 
tralen Benutzer- und Rechteverwaltung erläutert und 
praktisch am Arbeitsplatz vorgeführt. Wie ich dabei fest- 
stellen konnte, hat das Statistische Bundesamt die He- 
rausforderungen des Zensus 2011 für den Datenschufz 
und die Datensicherheit erkannt und technische sowie or- 
ganisatorische Lösungen für eine datenschutzgerechte 
Umsetzung gefunden, die einen Datenmissbrauch weitge- 
hend ausschließen. 

Trotz dieses guten Eindrucks ist leider auch der Zensus 2011 
nicht gänzlich von Problemen verschont geblieben. 

Einer der statistikrechtlichen Grundsätze, der sich sowohl 
im Bundesstatistikgesetz als auch speziell im ZensG 2011 
findet, betrifft die Trennung und Löschung der so genann- 
ten Hilfsmerkmale. Hilfsmerkmale sind Angaben, die der 
technischen Durchführung der Statistik dienen, wie bei- 
spielsweise der Name und die Anschrift der Person. Sie 
sind zu löschen, sobald die Überprüfung der Erhebungs- 
und Hilfsmerkmale auf ihre Schlüssigkeit und Vollstän- 
digkeit abgeschlossen ist. Die Aufbereitung der Daten 
durch die statistischen Ämter hat länger gedauert als ur- 
sprünglich vorgesehen. Dadurch kommt es auch zu Ver- 
zögerungen bei der Löschung der Hilfsmerkmale. Dies ist 
sehr bedauerlich! Beim aktuellen Zensus müssen die sta- 
tistischen Ämter die Hilfsmerkmale so schnell wie mög- 
lich löschen. Ich werde mich zu gegebener Zeit davon 
überzeugen, dass das Statistische Bundesamt dieser Ver- 
pflichtung nachkommt. 

Die Gründe für die Verzögerungen müssen näher unter- 
sucht werden, um zu verhindern, dass sich dies beim für 
2021 vorgesehenen nächsfen Zensus wiederholt. 

Kasten zu Nr. 8.1.1 


Das Anschriften- und Gebäuderegister besteht aus den 
Daten der Vermessungsregister, den Anschriflenmerk- 
malen der Bundesagentur für Arbeit sowie aus Daten 
der Melderegister. Die in den Melderegistem vorhande- 
nen personenbezogenen Daten finden sich dort aller- 
dings nicht wieder. Diese wurden für das Anschriflen- 
und Gebäuderegister lediglich als Strukturmerkmale 
verwendet, so zum Beispiel die Anzahl der Personen, 
die an einer Anschrift wohnen. Das Melde- und Er- 
werbsdatenregister wiederum enthält die Melderegister- 
daten nach § 3 Absatz 1 sowie die erwerbsstatistischen 
Daten nach §§ 4, 5 ZensG 2011. Die Übernahme und 
Zusammenführung der Daten obliegt grundsätzlich den 
Statistischen Landesämtem. 


8.1 .2 Verwaltungsdaten für die amtliche 
Statistik? 

Der Entwurf eines Gesetzes über die Statistik der Be- 
völkerungsbewegung und die Fortschreibung des Bevölke- 
rungsstandes (Bevölkerungsstatistikgesetz - BevStatG) 
bringt auch datenschutzrechtliche Verbesserungen mit sich. 
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Die Statistiken nach dem BevStatG sind als sogenannte Se- 
kundärerhebungen ausgestaltet. Die erforderlichen Daten 
werden der Statistik von den Verwaltungsbehörden gelie- 
fert. Dagegen habe ich keine grundlegenden datenschutz- 
rechtlichen Vorbehalte. Bedenklich wird es aber dann, 
wenn die Verwaltungsbehörden Daten für die amtliche Sta- 
tistik erheben, die sie für ihre eigenen Zwecke nicht benöti- 
gen. Zunächst widerspricht dies dem im Volkszählungs- 
urteil des Bundesverfassungsgerichts (BVerfGE 65, 1, 1) 
ausdrücklich betonten Prinzip der Trennung von Statistik 
und Verwaltung. Denn durch die Erhebung der Statistik- 
merkmale erfahren die Verwaltungsmitarbeiter Informa- 
tionen, die sie für die Wahrnehmung ihrer Aufgaben nicht 
benötigen und deshalb nicht erheben dürften. 

Des Weiteren stellt sich die Frage nach der rechtlichen 
Konstruktion eines solchen Verfahrens. Erhebt die Ver- 
waltungsbehörde nämlich Daten nicht für eigene Zwecke, 
sondern gleichsam als verlängerfer Arm der Sfatistik, ist 
sie als Auftragnehmer einer Auftragsdatenverarbeitung 
anzusehen. Das hätte die Anwendbarkeit von § 11 BDSG 
mit allen Rechten und Pflichten zur Folge, die eine Auf- 
tragsdatenverarbeitung mit sich bringt; zum Beispiel Wei- 
sungsrechte und Kontrollp dichten. Ferner dürfte denjeni- 
gen, die zu Angaben gegenüber der Verwaltungsbehörde 
verpflichtet sind, nur schwer vermittelbar sein, dass ei- 
nige Daten nur für Zwecke der amtlichen Statistik erho- 
ben werden. 

Der Gesetzentwurf sieht nun vor, dass die Verwaltungsbe- 
hörden nur solche Daten an die amtliche Statistik über- 
mitteln, die dort bereits vorhanden sind. Daher entfallen 
insbesondere die Erhebungsmerkmale Körpergewicht 
und Körperlänge für die Statisfik über lebend- und tofge- 
borene Kinder sowie das Erhebungsmerkmal rechtliche 
(Nicht-) Zugehörigkeit zu einer Religionsgemeinschaft. 
Dies sehe ich positiv und werde mich im weiteren parla- 
mentarischen Verfahren dafür einsefzen, dass insoweit 
keine Änderungen an dem Entwurf vorgenommen wer- 
den. 

8.2 Bundesmeldegesetz -zentrales Bundes- 
meldereglster konnte verhindert werden; 
Vermittlungsausschuss wurde 
angerufen 

Das vom Deutschen Bundestag am 28. Juni 2012 be- 
schlossene Gesetz zur Fortentwicklung des Meldewesens 
(MeldFortG) wies gegenüber dem Regierungsentwurf, 
den ich intensiv datenschutzrechtlich begleitet hatte, er- 
hebliche Verschlechterungen auf. Die Konferenz der Da- 
tenschutzbeauftragten des Bundes und der Länder hat da- 
raufhin durch eine Initiative gegenüber dem Bundesrat 
mit dazu beigetragen, dass dieser dem Gesetz nicht zuge- 
stimmt, sondern den Vermittlungsausschuss angerufen 
hat. 

Mit der Föderalismusreform des Jahres 2006 ist dem 
Bund die ausschließliche Gesetzgebungskompetenz für 
das Meldewesen übertragen worden. Seit dem Jahre 2007 
begleite ich intensiv das Gesetzgebungsvorhaben für das 
Bundesmeldegesefz (vgl. 22. TB Nr. 5.2 und 6.5). Dabei 


isf es insbesondere gelungen, die Einführung eines zen- 
tralen Melderegisters zu verhindern. 

Nachdem ein Regierungsentwurf für eine neue gesefzli- 
che Grundlage in der vorherigen Legislaturperiode nicht 
zustande gekommen war, hat die Bundesregierung nun 
am 31. August 2011 einen Gesetzentwurf beschlossen. 

Der von der Bundesregierung dem Deutschen Bundestag 
vorgelegte Entwurf eines Gesetzes zur Fortentwicklung 
des Meldewesens (MeldFortG) vom 16. November 2011 

- Bundestagsdrucksache 17/7746 - enthielt aus daten- 
schutzrechtlicher Sicht einige Verbesserungen gegenüber 
früheren Referentenentwürfen (insbes. Verzicht auf ein 
zentrales Bundesmelderegister) und teilweise auch ge- 
genüber der geltenden Rechtslage (insbes. Einwilligungs- 
lösung bei einfachen Melderegisterauskünften für Zwe- 
cke der Werbung und des Adresshandels). Gleichwohl 
bestanden noch wesentliche datenschutzrechtliche Be- 
denken und Forderungen, die im Rahmen der Ressortab- 
stimmung nicht berücksichtigt worden waren. Diese be- 
trafen: 

- (weitere) Stärkung der Rechte des Meldepflichtigen 
bei Melderegisterauskünften, 

- Abschaffüng der Hotelmeldepflicht, 

- keine Wiedereinführung der Mifwirkungspflicht des 
Wohnungsgebers bei der Anmeldung des Miefers. 

Der Deutsche Bundestag hat in seinem Gesetzesbeschluss 
am 28. Juni 2012 nicht nur diese Forderungen nicht be- 
rücksichtigt, sondern auf Vorschlag des Innenausschusses 
hin Änderungen beschlossen, die die im Regierungsent- 
wurf enthaltenen Datenschutzbestimmungen deutlich ver- 
schlechtern und zum Teil sogar hinter das geltende Recht 
zurückfallen. Dabei geht es im Wesentlichen um folgende 
Punkte: 

- Einfache Melderegisterauskünfte für Zwecke der Wer- 
bung und des Adresshandels: 

Die im Regierungsentwurf vorgesehene Einwilli- 
gungslösung wurde durch eine bloße Widerspruchslö- 
sung ersetzt, die zudem durch eine Ausnahme für 
Daten, die ausschließlich zur Bestätigung oder Berich- 
tigung bereits vorhandener Daten verwendet werden, 
erheblich aufgeweicht wird. 

- Einfache Melderegisterauskünfte zu sonstigen ge- 
werblichen Zwecken: 

Beschränkung der ursprünglich vorgesehenen Zweck- 
bindungsregelung für sämtliche gewerbliche Zwecke 
auf Zwecke der Werbung und des Adresshandels. 

- Streichung des Widerspruchsrechts gegen die Ertei- 
lung einfacher Melderegisterauskünfte im Wege des 
automatisierten Abrufs über das Internet. 

Die Konferenz der Datenschutzbeauflragten des Bundes 
und der Länder hat in einer Entschließung vom 22. August 
2012 (vgl. Kasten zu Nr. 8.2) und einer gemeinsamen fach- 
lichen Stellungnahme an den Bundesrat auf die erheblichen 
datenschutzrechtlichen Defizite hingewiesen und den Bun- 



Deutscher Bundestag - 17. Wahlperiode 


-117- 


Drucksache 17/13000 


desrat aufgefordert, dem Gesetz nicht zuzustimmen, damit 
im Vermittlungsverfahren die erforderlichen datenschutz- 
gerechten Verbesserungen erfolgen können. 

Der Bundesrat ist dem gefolgt und hat in seiner Sitzung 
am 21. September 2012 beschlossen, die Einberufung des 


Vermittlungsausschusses zu verlangen. Allerdings hat er 
dabei nicht alle datenschutzrechtlichen Bedenken aufge- 
griffen. 

Der Vermittlungsausschuss hat im Berichtszeitraum aller- 
dings noch keinen Vermittlungsvorschlag vorgelegt. 


Kasten zu Nr. 8.2 


Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 22. August 2012 
Melderecht datenschutzkonform gestalten! 

Das vom Deutschen Bundestag am 28. Juni 2012 beschlossene neue Melderecht weist erhebliche datenschutzrechtli- 
che Defizite auf Schon die im Regierungsentwurf enthaltenen Datenschutzbestimmungen blieben zum Teil hinter 
dem bereits geltenden Recht zurück. Darüber hinaus wurde der Regierungsentwurf durch das Ergebnis der Aus- 
schussberatungen des Bundestages noch einmal deutlich verschlechtert. 

Bei den Meldedaten handelt es sich um Pfiichtangaben, die die Bürgerinnen und Bürger gegenüber dem Staat machen 
müssen. Dies verpflichtet zu besonderer Sorgfalt bei der Verwendung, insbesondere wenn die Daten an Dritte weiter- 
gegeben werden sollen. 

Die Datenschutzbeauftragten des Bundes und der Länder fordern daher den Bundesrat auf, dem Gesetzentwurf nicht 
zuzustimmen, damit im Vermittlungsverfahren die erforderlichen datenschutzgerechten Verbesserungen erfolgen 
können. Dabei geht es nicht nur darum, die im Deutschen Bundestag vorgenommenen Verschlechterungen des Ge- 
setzentwurfs der Bundesregierung rückgängig zu machen, vielmehr muss das Melderecht insgesamt datenschutzkon- 
form ausgestaltet werden. Hierfür müssen auch die Punkte aufgegriffen werden, die von den Datenschutzbeauftragten 
im Gesetzgebungsverfahren gefordert worden sind, aber unberücksichtigt blieben. 

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder hält insbesondere in den folgenden Punkten 
Korrekturen und Ergänzungen für erforderlich: 

- Einfache Melderegisferauskünfle für Zwecke der Werbung und des Adresshandels bedürfen ausnahmslos der Ein- 
willigung des Meldepfiichtigen. Dies gilt auch für die Aktualisierung solcher Daten, über die die anffagenden 
Stellen bereits verfügen und die Weitergabe der Daten an Adressbuchverlage. 

Melderegisterauskünfte in besonderen Fällen, wie Auskünfte an Parteien zu Wahlwerbungszwecken und an Presse 
oder Rundfunk über Alters- und Ehejubiläen sollten im Interesse der Betroffenen ebenfalls nur mit Einwilligung 
der Meldepflichtigen zulässig sein. 

- Der Meldepflichtige muss sonstigen einfachen Melderegisterauskünften widersprechen können. Die Übermittlung 
hat bei Vorliegen eines Widerspruchs zu unterbleiben, sofern der Anfragende kein rechtliches Interesse geltend 
machen kann. 

- Die Zweckbindung der bei Melderegisterauskünften übermittelten Daten ist zu verstärken. Die im Gesetzentwurf 
nur für Zwecke der Werbung und des Adresshandels vorgesehene Zweckbindung muss auch auf die Verwendung 
für sonstige gewerbliche Zwecke erstreckt werden. 

- Angesichts der Sensibilität der Daten, die im Rahmen einer erweiterten Melderegisterauskunft mitgeteilt werden, 
und der relativ niedrigen Voraussetzungen, die an die Glaubhaftmachung des berechtigten Interesses gestellt wer- 
den, sollte anstelle des berechtigten Interesses ein rechtliches Interesse an der Kenntnis der einzelnen Daten vom 
potentiellen Datenempfänger glaubhaft gemacht werden müssen. 

- Die Erteilung einfacher Melderegisterauskünfte im Wege des Abrufs über das Internet oder des sonstigen automa- 
tisierten Datenabrufs sollte wie bisher nur zulässig sein, wenn die betroffene Person ihr nicht widerspricht. 

- Die Hotelmeldepfiicht sollte entfallen, weil es sich dabei um eine sachlich nicht zu rechtfertigende Vorratsdaten- 
speicherung handelt. Hotelgäste dürfen nicht schlechthin als Gefahrenquellen oder (potentielle) Straftäter angese- 
hen und damit in ihrem Persönlichkeitsrecht verletzt werden. 

- Die erst vor wenigen Jahren abgeschaffte Mitwirkungspfiicht des Wohnungsgebers bei der Anmeldung des Mie- 
ters darf nicht wieder eingeführt werden. Die Verpflichtung des Meldepflichtigen, den Vermieter zu beteiligen, 
basiert auf einer Misstrauensvermutung gegenüber der Person des Meldepfiichtigen. Der Gesetzgeber hat die da- 
malige Abschaffung der Vermietermeldepfiicht unter anderem damit begründet, dass die Erfahrungen der melde- 
behördlichen Praxis zeigen, dass die Zahl der Scheinmeldungen zu vernachlässigen ist. Es liegen keine Anhalts- 
punkte dafür vor, dass sich dies zwischenzeitlich geändert hat. Ferner steht der Aufwand hierfür - wie auch bei der 
Hotelmeldepfiicht - außer Verhältnis zum Nutzen. 
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8.3 Fortbildung und Zertifizierung 
behördlicher Datenschutzbeauftragter 

Bei der Entwicklung des Fortbildungslehrgangs ,, Behördli- 
che Datenschutzbeauftragte Basis (Bund) “ habe ich die Bun- 
desakademie für öffentliche Verwaltung fachlich beraten. 

Um den steigenden Anforderungen an das Fachwissen be- 
hördlicher Datenschutzbeauftragter Rechnung zu tragen 
und zugleich Standards für die Ausbildung und Zertifizie- 
rung behördlicher Datenschutzbeauftragter in der Bundes- 
verwaltung zu schaffen, hat die Bundesakademie für öf- 
fentliche Verwaltung (BAköV) den Fortbildungslehrgang 
„Behördliche Datenschutzbeauftragte Basis (Bund)“ ent- 
wickelt. Diesen Prozess habe ich beratend begleitet. Das 
Fortbildungsangebot, das den Erwerb einer gleichnamigen 
Zertifizierung einschließt, richtet sich an behördliche Da- 
tenschutzbeauftragte in der Bundesverwaltung oder dieje- 
nigen, die für diese Funktion vorgesehen sind. 

Die Fortbildung bietet die Möglichkeit, die erforderlichen 
Grundkenntnisse auf den Gebieten des Datenschutzes und 
der Datensicherheit einfach und bequem zu erlernen und 
durch die Zertifizierung auch belegen zu können. Ich be- 
grüße es, dass das auf 15 Tage angelegte Basisseminar 
den Teilnehmern genügend Raum lässt, den erlernten 
Stoff zu verinnerlichen. Die Ausbildung zum Daten- 
schutzbeauftragten ist nicht im Schnellverfahren möglich. 

Der modulare Aufbau des Lehrgangs bietet den Teilneh- 
mern zudem größtmögliche Flexibilität. Die Zertifizierung 
als behördlicher Datenschutzbeauftragter, die eine Projekt- 
arbeit sowie den Abschlusstest umfasst, ist insbesondere 
nicht an den Besuch des Basisseminars geknüpft. Alle Teil- 
nehmer können auf der Grundlage eines Selbsteinschät- 
zungstests frei entscheiden, ob und in welchem Umfang sie 
das Basisseminar oder den ebenfalls angebotenen Kom- 
paktkurs besuchen. Diese Wahlfreiheit wird insbesondere 
für erfahrene Datenschutzbeauftragte, die ihr Fachwissen 
in erster Linie zertifizieren lassen wollen, interessant sein. 

Von der Zertifizierung erwarte ich eine Aufwertung der 
Funktion des behördlichen Datenschutzbeauftragten, der 
nun erstmals seine Kenntnisse und seine Ausbildung mit 
einem Zertifikat belegen kann. Ich wünsche der BAköV 
bei der weiteren Umsetzung der Fortbildung - ein erster 
Pilotdurchgang ist für Sommer 2013 geplant - viel Erfolg 
und regen Zulauf Ich bin gerne bereit, das Fortbildungs- 
projekt bei Bedarf auch weiterhin fachlich beratend zu 
begleiten. 

8.4 Anlaufschwierigkeiten bei der 
Herstellung des neuen Personal- 
ausweises 

Anlaufschwierigkeiten bei der Herstellung des neuen Per- 
sonalausweises in der Bundesdruckerei konnten abge- 
stellt werden. 

Nachdem die Presse über Probleme bei der Produktion 
des neuen Personalausweises berichtet hatte, habe ich 
dessen Herstellung - vom Auftragseingang bis zur Aus- 
lieferung - bei der Bundesdruckerei überprüft (vgl. Kas- 
ten zu Nr. 8.4). 


Ein Problem, mit dem ich mich bei meiner Kontrolle be- 
fasst habe, stellte die Ausgabe von Personalausweisen mit 
nicht personalisiertem Chip dar. Die Ursache für diesen 
Fehler lag darin, dass bei der Maschine, die die Personali- 
sierung und Prüfung des Chips übernimmt, versehentlich 
beide Funktionen gleichzeitig ausgeschaltet waren. Um 
derartige Pannen künftig auszuschließen, hat die Bundes- 
druckerei die elektrische Abschaltung deaktiviert und zu- 
sätzliche Prüffunktionen eingeführt. 

Ein weiteres Problem stellte die doppelte Produktion von 
Personalausweisen dar, die auf einen Softwarefehler zu- 
rückzuführen war. Dieser Fehler wurde ebenfalls behoben. 
Auf Grund eines Verfahrensfehlers wurde als aussfellende 
Behörde immer die gleiche Sfelle auf die betroffenen Per- 
sonalausweise gedruckt, obwohl diese von unterschiedli- 
chen Behörden ausgestellt worden waren. Auch dieser 
Fehler konnte beseitigt werden. 

Darüber hinaus führte die Vielfalt der in den Kommunen 
und den zwischengeschalteten Rechenzentren eingesetz- 
ten IT-lnfrastruktur anfänglich zu Instabilitäten, Fehler- 
meldungen und Wartezeiten, die die Bundesdruckerei 
durch nachträgliche Software-Updates beheben konnte. 

Schließlich habe ich mir den Umgang mit fehlerhaft pro- 
duzierten Ausweisen angesehen. Wie ich dabei feststellen 
konnte, hat die Bundesdruckerei durch entsprechende 
technische und organisatorische Maßnahmen eine daten- 
schutzgerechte Vernichtung sichergestellt. 

Kasten zu Nr. 8.4 


ln den Verantwortungsbereich der Bundesdruckerei fal- 
len insbesondere 

- die Entwicklung, die Bereitstellung und der Betrieb der 
Softwarekomponenten zur Erfassung der Daten der 
Ausweisinhaber in den Meldebehörden, der Kompo- 
nenten zur sicheren, verschlüsselten Übertragung der 
persönlichen Daten des Bürgers in die Bundesdru- 
ckerei sowie der Hard- und Software zum Auslesen, 
Anzeigen und Ändern der im Chip gespeicherten Da- 
ten, 

- die Entwicklung des Ausweiskartenkörpers aus un- 
terschiedlichen Lagen mit neuen Sicherheitsmerk- 
malen, 

- die Entwicklung, der Aufbau, die Inbetriebnahme 
und das Hochfahren der Produktion sowie 

- die Entwicklung und Bereitstellung von Hauptkom- 
ponenten der IT-lnfrastruktur zur Nutzung der elek- 
tronischen Identität. 


8.5 Aufgaben des Bundesverwaltungsamtes 
bei derelD-Funktion des neuen 
Personalausweises 

Das Bundesverwaltungsamt führt Sperrlisten und vergibt 
elektronische Berechtigungszertifikate. Die Prüfung vor 
Ort ergab keinen Grund zur Beanstandung. 
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Der neue Personalausweis unterseheidet sieh von dem 
Vorgängermodell im Wesentliehen dureh den integrierten 
Chip. Dieser Chip unterstützt drei Funktionen: Die ho- 
heitliehe Identitätskontrolle mittels biometriseher Merk- 
male (elektronisehes Passfoto und - auf freiwilliger Basis - 
Fingerabdruek), die qualifizierte elektronisehe Signatur 
und den elektronisehen Identitätsnaehweis (elD-Funk- 
tion), mit dem der Inhaber sieh elektroniseh über das In- 
ternet ausweisen kann. Damit sollen sowohl elektronisehe 
Behördengänge als aueh Onlinedienstleistungen, etwa 
das E-Banking, sieherer werden (vgl. 23. TB Nr. 3.2). 

Dem Bundesverwaltungsamt (BVA) wurden bei der Rea- 
lisierung des elektronisehen Identitätsnaehweises wieh- 
tige Aufgaben zugewiesen. Im Beriehtszeitraum habe ieh 
geprüft, ob das BVA sieh dabei an die datensehutzreehtli- 
ehen Vorgaben hält. 

Bei der Vergabestelle für Bereehtigungszertifikate bean- 
tragen Diensteanbieter die Bereehtigung, die für ihre Auf- 
gaben erforderliehen Daten im Wege des elektronisehen 
Identitätsnaehweises mittels eines Bereehtigungszertifi- 
kates anfragen zu dürfen. 

Diensteanbieter können Behörden aber aueh private Un- 
ternehmen sein. Entseheidend ist, dass die Übermittlung 
bestimmter im neuen Personalausweis hinterlegter Daten 
für den jeweiligen „Gesehäftszweek“ erforderlieh ist. ln 
seinem Antrag auf eine solehe Bereehtigung hat der 
Diensteanbieter daher unter anderem die Datenkategorien 
zu benennen, auf die zugegriffen werden soll und dabei 
für jede Datenkategorie zu begründen, warum es für den 
dargelegten Zweek erforderlieh ist, die Daten zu erheben. 
Die Prüfung der Erforderliehkeit bildet einen Sehwer- 
punkt bei der Antragsprüfung dureh die Vergabestelle für 
Bereehtigungszertifikate. Zum Naehweis der Erforder- 
liehkeit haben die Diensteanbieter ihre Gesehäftsprozesse 
detailliert zu erläutern. Hierzu habe ieh mir Anträge ange- 
sehen, bei denen sieh aus einem Flussdiagramm eindeutig 
ergab, in welehem Stadium des Prozesses welehe Daten 
wofür benötigt werden. Unter Vorlage des positiven 
Bescheids der Vergabestelle kann der Diensteanbieter von 
einem Berechtigungszertifikateanbieter (BerCA) das 
elektronische Berechtigungszertifikat erwerben. 

Als Sperrlistenbetreiber hat das BVA jedem Diensteanbie- 
ter eine für ihn errechnete, aktuelle Liste bereitzustellen, 
die die Sperrmerkmale abhandengekommener Personal- 
ausweise mit eingeschaltetem elektronischem Identitäts- 
nachweis enthält. Für Zwecke des Sperrmanagements 
führt das BVA eine so genannte Referenzliste, in der die 
Sperrsummen und Sperrschlüssel sämtlicher hergestellter 
Ausweise gespeichert sind. Erfolgt eine Sperrmeldung 
des Ausweisdokuments unter Mitteilung der Sperr- 
summe, wird mit Hilfe der Referenzliste der zugehörige 
Sperrschlüssel ermittelt und die Sperrsumme als gesperrt 
gekennzeichnet. Mit Hilfe des Sperrschlüssels wird das 
Sperrmerkmal nach den Vorgaben in den Technischen 
Richtlinien TR-03 110 und TR-03 111 berechnet und in der 
globalen Sperrliste in der Datenbank beim BVA gespei- 
chert. Zweimal täglich wird die globale Sperrliste aus der 
Datenbank exportiert und als Kopie für die BerCA auf ei- 
nem Downloadserver zur Verfügung gestellt. Der BerCA 


berechnet aus der zur Verfügung gestellten Kopie nach 
den Vorgaben in der TR-03 110 eine diensteanbieterspezi- 
fische Sperrliste, welche die Diensteanbieter abrufen. 
Während des Authentisierungsprozesses bei der Nutzung 
der Online-Ausweisfunktion berechnet der Chip im Per- 
sonalausweis ein diensteanbieterspezifisches Merkmal. 
Wird dieses in der diensteanbieterspezifischen Sperrliste 
gefunden, ist der Personalausweis gesperrt. 

Sowohl die Vergabe der Berechtigungszertifikate als auch 
die Erstellung der Sperrlisten habe ich bei einer Kontrolle 
des BVA überprüft. Erfreulicherweise habe ich keine Da- 
tenschutzmängel festgestellt. 

8.6 Forschungsprojekte der Bundes- 
regierung zur Aufarbeitung des 
Umgangs mit der NS-Vergangenheit 
von Mitarbeiterinnen und Mitarbeitern 
in Bundesministerien 

Gesetzliche Änderungen sind erforderlich, um die NS- 
Vergangenheit in Bundesbehörden wissenschaftlich auf- 
arbeiten zu können. 

Die Aufarbeitung der NS-Vergangenheit ist in den letzten 
Jahren zu Recht ein wichtiges Thema für zahlreiche Bun- 
desbehörden geworden und hat auch den Deutschen Bun- 
destag beschäftigt. 

Wenn Forschungsaufträge vergeben werden, mit denen 
das Vorleben ehemaliger Mitarbeiter untersucht werden 
soll, ist es regelmäßig erforderlich, auch Daten aus Perso- 
nalakten zu verwenden. Nur so werden sich die Forscher 
ein umfassendes Bild von den Mitarbeitern und deren 
eventuellen Verstrickungen in NS-Unrecht machen kön- 
nen. 

Nach dem Bundesbeamtengesetz gilt für Bundesbeamte 
- wie analog auch für Tarifbeschäftigte - das Personal- 
aktengeheimnis. Dieses sieht einen Zugang zu Personal- 
akten nur unter sehr engen Voraussetzungen vor. Der Zu- 
gang zu Forschungszwecken ist nicht vorgesehen. Sofern 
kein archivrechtlicher Zugang möglich ist, sehe ich auch 
keine Möglichkeit, Forschem Personalakten aufgmnd an- 
derer Rechtsvorschriften zugänglich zu machen. Ein For- 
schungszugriff auf Personalaktendaten verstößt daher im 
Regelfall gegen das Personalaktengeheimnis (§ 107 Ab- 
satz 1 Bundesbeamtengesetz). 

Ich halte dieses juristisch zwingende Ergebnis für unbe- 
friedigend. Im Hinblick auf das gesellschaftliche Bedürf- 
nis an einer wissenschaftlichen Aufarbeitung der NS-Ver- 
gangenheit von Bundesbehörden habe ich gegenüber der 
Bundesregiemng angeregt, über eine entsprechende Än- 
demng des Bundesbeamtengesetzes nachzudenken. Diese 
könnte sich inhaltlich an § 32 Stasi-Unterlagen-Gesetz 
orientieren, der eine ähnliche Interessenkollision ange- 
messen regelt. Mit dieser modellhaften Regelung hat der 
Gesetzgeber eine ausgewogene Lösung des Konfliktes 
zwischen dem Anspmch der Allgemeinheit an einer his- 
torischen Aufarbeitung und dem Recht des Einzelnen auf 
informationelle Selbstbestimmung getroffen. 
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Leider hat die Bundesregierung meine Anregung nicht 
aufgegriffen. Es ist deshalb zu befürchten, dass die Auf- 
arbeitung der NS- Vergangenheit durch - an sich vermeid- 
bare - Rechtsstreitigkeiten behindert wird. 

8.7 Nationales Waffenregister 

Die gesetzliche Grundlage für ein Nationales Waffen- 
register (NWR) muss den datenschutzrechtlichen Anfor- 
derungen genügen. 

Nach der europäischen Waffenrichtlinie (2008/51/EG) 
sind alle Mitgliedstaaten verpflichtet, bis spätestens 
31. Dezember 2014 ein computergestütztes Waffenregis- 
ter auf nationaler Ebene einzurichten und stets auf dem 
aktuellen Stand zu halten. Wie die Richtlinie weiter vor- 
sieht, muss das nationale Register allen zuständigen Be- 
hörden Zugang zu den gespeicherten Daten gewähren. 
Der deutsche Gesetzgeber hat daraufhin beschlossen, das 
Nationale Waffenregister (NWR) bereits bis Ende des 
Jahres 2012 und damit zwei Jahre vor Ablauf der von der 
EU gesetzten Frist aufzubauen (§ 43a Waffengesetz). Ich 
habe das Projekt eines bundesweiten zentralen Nationalen 
Waffenregisters bereits in einem frühen Stadium begleitet 
(vgl. 23. TB Nr. 8.3). 

Sowohl bei den Eckpunkten des BMI wie auch im eigentli- 
chen Gesetzgebungsverfahren zum Errichtungsgesetz für 
das Nationale Waffenregister und zur entsprechenden 
Durchführungsverordnung habe ich datenschufzrechtliche 
Belange geltend gemacht. Im Ergebnis ist festzustellen, 
dass die notwendigen datenschutzrechtlichen Vorkehrun- 
gen sowohl in sachlicher als auch in technischer Hinsicht 
Berücksichtigung gefunden haben. Das Gesetz zur Er- 
richtung eines Nationalen Waffenregisters (NWRG) und 
die Verordnung zur Durchführung des Nationalen- Waf- 
fenregister-Gesetzes (NWRG-DV) bilden jetzt eine solide 
Grundlage für das zum 1 . Januar 2013 einzurichtende Re- 
gister. 

8.8 Der Umgang mit den Stasi-Unterlagen - 
ein Dauerthema 

Neben den Anträgen auf Akteneinsicht war die Verwen- 
dung der Unterlagen für Forschungsvorhaben ein Kon- 
tra llschwerpunkt. Auch Fragen im Zusammenhang mit 
der manuellen Rekonstruktion zerrissener Stasi-Unterla- 
gen waren Gegenstand meiner Beratung. 

Im Berichtszeitraum wurden Beratungs- und Kontrollbe- 
suche in der Zentrale sowie in einer Außenstelle des 
BStU durchgeführt. Ferner fand ein Informations- und 
Beratungsbesuch bei der Projektgruppe zur manuellen 
Rekonstruktion der Stasi-Unterlagen statt. 

Als generelles Ergebnis meiner Prüfungen konnte ich er- 
neut feststellen, dass die BStU-Mitarbeiter sich durch 
hohe Sachkunde und Gewissenhaftigkeit im Umgang mit 
den sensiblen personenbezogenen Unterlagen auszeich- 
nen. An allen besuchten Stellen wird den Maßnahmen zur 
inneren und äußeren Sicherung der Stasi-Unterlagen, der 
sorgfältigen Dokumentation der Verfahrensabläufe und 
der restriktiven Kenntnisnahme der Inhalte hohes Ge- 
wicht beigemessen. 


Der Beratungs- und Kontrollbesuch in der BStU-Zentrale 
galt der Verwendung der Unterlagen für Forschungsvor- 
haben. Zu unterscheiden ist zwischen Vorhaben, die von 
Externen beantragt werden (§ 32 StUG) und solchen, die 
der BStU selbst durchführt (im Rahmen der Aufgaben- 
stellung nach § 37 Absatz 1 Nummer 5 StUG). Nach Dar- 
stellung des BStU sei entscheidender Aspekt für die Zu- 
lässigkeit der Herausgabe von Stasi-Unterlagen für diese 
Forschungszwecke die zweifelsfreie Fesfsfellung, dass 
das Forschungsvorhaben der Aufarbeitung der Tätigkeit 
des Staatssicherheitsdienstes oder einem sonstigen in 
§ 32 Absatz 1 StUG genannten Forschungszweck diene - 
und nicht lediglich als Vorwand zur Ausforschung einzel- 
ner Personen. Anders als bei Anträgen auf Akteneinsicht, 
die konkret personenbezogen gestellt würden, stelle sich 
der Recherchevorgang bei themenbezogenen Forschungs- 
vorhaben komplexer dar, weil die Herausgabe der Unter- 
lagen nach dem Erforderlichkeitsgrundsatz konkret auf 
den Themenbezug zu beschränken sei. Auf dieser Grund- 
lage würden dann die notwendigen Unterlagen herausge- 
geben - soweit nötig in anonymisierter Form - und dies- 
bezüglich ein administrativer Nachweis dokumentiert. 
Insgesamt habe ich festgestellt, dass die Bereitstellung 
von Stasi-Unterlagen nach § 32 StUG datenschutzkon- 
form erfolgt. 

Die vom BStU selbst durchgeführten Forschungsvorha- 
ben erfolgen im Rahmen der Aufgabenstellung nach § 37 
Absatz 1 Nummer 5 StUG - Aufarbeitung der Tätigkeit 
des Staatssicherheitsdienstes durch Unterrichtung der Öf- 
fentlichkeit über seine Struktur, Methoden und Wirkungs- 
weise. Der BStU erklärte, dass auch bei der Einsicht- 
nahme und Verwendung von Stasi-Unterlagen für interne 
Forschungszwecke die damit befassten Mitarbeiter nur 
Projekt- und damit themenbezogen Zugang zu den Stasi- 
Unterlagen hätten. Dieser würde durch entsprechende 
Mechanismen vergleichbar den externen Antragstellern 
administrativ begleitet und nachgewiesen. Nach meinen 
Feststellungen stellt der BStU auch auf diesem Feld durch 
organisatorische Maßnahmen sicher, dass dem Schutz der 
Stasi-Unterlagen angesichts ihrer hohen Sensibilität gro- 
ßes Gewicht beigemessen wird. 

Mein Informations- und Beratungsbesuch bei der Projekt- 
gruppe zur manuellen Rekonstruktion zerrissener Stasi- 
Unterlagen erstreckte sich schwerpunktmäßig auf Fragen 
der Sicherung der Unterlagen im Rahmen des Transportes 
von der Zentrale zur externen Projektdienststelle, auf die 
dortigen Sicherungsvorkehrungen sowie den Transport 
zurück. Auch hier konnte ich durch gezielte Nachfrage 
und Inaugenscheinnahme der baulichen Gegebenheiten 
und Zutrittsmechanismen feststellen, dass den Daten- 
schutzerfordemissen in geeigneter Weise Rechnung ge- 
tragen wird. 

8.9 Visa-Warndatei und Datenabgleich- 
verfahren 

So erfreulich die datenschutzrechtlichen Verbesserungen 
für die künftige Visa- Warndatei sind, so kritisch sehe ich 
den zusätzlichen Abgleich von Daten aus dem Visum- Ver- 
fahren mit Daten aus der Antiterrordatei. 



Deutscher Bundestag - 17. Wahlperiode 


- 121 - 


Drucksache 17/13000 


Seit langem wird über die Einrichtung einer Visa-Wam- 
datei diskutiert. Nachdem ein entsprechendes Vorhaben 
in der letzten Legislaturperiode gescheitert war, sah der 
Koalitionsvertrag für die laufende 17. Legislaturperiode 
eine zentrale Visa-Wamdatei vor. Sie soll Personen, die 
durch rechtswidriges Verhalten im Zusammenhang mit 
einem Visum- Verfahren oder mit sonstigem Auslandsbe- 
zug bereits auffällig geworden sind, für eventuelle wei- 
tere Visum- Verfahren erkennbar machen, um sie dann nä- 
her überprüfen zu können. Das Bundesministerium des 
Innern hatte hierfür zunächst einen Referentenentwurf 
vorgelegt, der aber insbesondere hinsichtlich der Sachver- 
halte, die eine Speicherung in der Visa-Wamdatei auslö- 
sen sollten, und der zugriffsberechtigten Behörden über 
das erforderliche Maß hinaus ging (vgl. hierzu 23. TB 
Nr. 15.1). 

Im Berichtszeitraum wurde der Entwurf überarbeitet und 
als „Gesetz zur Errichtung einer Visa-Wamdatei und zur 
Ändemng des Aufenthaltsgesetzes“ verabschiedet (Ge- 
setz vom 22. Dezember 2011, BGBl. 1 S. 3037). Bei der 
Ausgestaltung der Visa-Wamdatei, die beim Bundesver- 
waltungsamt geführt werden soll, enthält das Gesetz er- 
hebliche datenschutzrechtliche Verbessemngen gegen- 
über dem ursprünglichen Entwurf Dies gilt insbesondere 
für die deutliche Reduziemng der zu speichernden Wam- 
sachverhalte sowie den Verzicht auf Zugriffsbefugnisse 
der Sicherheitsbehörden und Nachrichtendienste (ein- 
schließlich der Instmmente der Gmppenauskunft und des 
Suchvermerksverfahrens). Gleichwohl bleiben Zweifel: 
Ist es wirklich erforderlich, in der Visa-Wamdatei Daten 
zu speichern, die bereits in anderen Dateien (z. B. dem 
Bundeszentralregister oder dem europäischen Visa-Infor- 
mationssystem) enthalten sind? Meine Fordemng, diese 
Frage vorab und nicht erst - wie in der Gesetzesbegrün- 
dung vorgesehen (Bundestagsdracksache 17/6643 S. 22) - 
im Rahmen der späteren Evaluiemng des Gesetzes zu un- 
tersuchen, blieb im Gesetzgebungsverfahren leider unbe- 
rücksichtigt. 

Getrennt von der Visa-Wamdatei führt das Gesetz ein zu- 
sätzliches Datenabgleichverfahren ein, mit dem besonde- 
ren sicherheitspolitischen Interessen im Visum- Verfahren 
Rechnung getragen werden soll. Künftig sollen in einer 
besonderen Organisationseinheit beim Bundesverwal- 
tungsamt Daten aus dem Visum- Verfahren mit Daten aus 
der Antiterrordatei automatisiert abgeglichen werden. 
Dadurch soll eine Rückmeldung an die Visum-Behörden 
ermöglicht werden, wenn Personen aus dem terroristi- 
schen Umfeld eine Einreise nach Deutschland beabsichti- 
gen. Gegen dieses Verfahren bestehen erhebliche daten- 
schutzrechtliche Bedenken, die ich sowohl im Rahmen 
der Ressortabstimmung als auch gegenüber dem Innen- 
ausschuss des Deutschen Bundestages - letztlich erfolg- 
los - geltend gemacht habe. Vorgesehen ist ein verdachts- 
loser Vollabgleich von sämtlichen Visum-Antragsteilem, 
Einladem, Verpflichtungsgebem und sonstigen Referenz- 
personen mit Angaben aus der Antiterrordatei. Ich habe 
Zweifel, ob dieses Abgleichverfahren, durch das weit 
überwiegend Personen betroffen sind, die sich rechtmä- 
ßig verhalten und keinen Anlass für eine Überprüfung ge- 
geben haben, wirklich erforderlich ist; dies insbesondere 


vor dem Hintergmnd, dass zur sicherheitsbehördlichen 
Überprüfung von Visum-Antragsteilem aus bestimmten, 
als „kritisch“ eingestuften Herkunftsstaaten bereits das 
sog. Konsultationsverfahren (§ 73 Absatz 1 Aufenthalts- 
gesetz) existiert. Der Gesetzgeber hat an keiner Stelle 
dargelegt, das Konsultationsverfahren habe sich in der 
Vergangenheit nicht als ausreichend erwiesen. Ebenso 
fehlt eine Rechtfertigung für die Weite der betroffenen 
Personenkreise, deren Daten aus den beiden Dateien mit- 
einander abgeglichen werden. Auch die technische und 
organisatorische Ausgestaltung des Abgleichverfahrens 
erschien während des Gesetzgebungsverfahrens noch 
nicht hinreichend durchdacht. 

Das Gesetz wird am 1. Juni 2013 in Kraft treten. Zu die- 
sem Zeitpunkt sollen sowohl die Visa-Wamdatei als auch 
das Datenabgleichverfahren ihren Betrieb aufnehmen. Ich 
werde die technische Umsetzung insbesondere unter Da- 
tensicherheitsaspekten aufmerksam verfolgen. 

8.10 Datenschutz bei THW und BBK 

Bei Prüfungen beim Technischen Hilfswerk und beim 
Bundesamt für Bevölkerungsschutz und Katastrophen- 
hilfe habe ich in einigen Punkten datenschutzrechtliche 
Defizite festgestellt. An Nachbesserungen wird gearbei- 
tet. 

Bundesanstalt Technisches Hilfswerk (THW) 

Im Berichtszeitraum habe ich Beratungs- und Kontrollbe- 
suche bei der Bundesanstalt Technisches Hilfswerk auf 
den verschiedenen Verwaltungsebenen durchgeführt. 
Diese erstreckten sich auf die THW-Leitung, die THW- 
Bundesschule, einen Landesverband, eine Geschäftsstelle 
und einen Ortsverband. Ich erfuhr, dass die THW-eigene 
Datenbank „THWin“ zentrales Speicher- und Informa- 
tionsmedium über sämtliche Verwaltungsebenen darstellt. 
Von daher stellte sie den Schwerpunkt meiner Prüfungen 
dar. 

Insbesondere ging es dämm, inwieweit die Mitarbeiter 
der jeweiligen Verwaltungsebenen Zugriff auf Speicher- 
inhalte der Datenbank haben bzw. diese mit Informatio- 
nen beschicken können. Dies ist gerade mit Blick auf 
personenbezogene Daten von Bedeutung. Aus Daten- 
schutzsicht ist es problematisch, dass die Datenbank so- 
wohl personenbezogene Informationen als auch Informa- 
tionen zu reinen Sachfragen beinhaltet. Nach Darstellung 
des THW ist dies darauf zurückzuführen, dass diese Da- 
tenbank bereits etwa 20 Jahre alt ist und aktuellen Erfor- 
dernissen folgend stets nur ergänzt wurde, ohne dass sie 
einem stringenten Konzept folgt. Auch hegt keine Doku- 
mentation über die Datenbank vor. Ich habe daher das 
THW gebeten, eine Dokumentation über die Datenbank 
zu erstellen. 

Meine Prüfungen ergaben, dass den Datenschutzerforder- 
nissen aus praktischer Sicht Rechnung getragen wird und 
Zugriffsrechte auf der Gmndlage eines Rechte- und Rol- 
lenkonzeptes nach dem Erforderlichkeitsprinzip organi- 
siert sind. Meine Prüfungen erstreckten sich auch auf die 
Zutrittskontrollen zu den Liegenschaften und den zentra- 
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len Einrichtungen der Informationstechnik sowie die logi- 
sche Zugangskontrolle zu den IT-Systemen. 

Auch habe ich einzelne IT-Arbeitsplätze der Mitarbeiter 
geprüft. Hier besteht zum Teil Verbesserungsbedarf Ich 
habe das THW aufgefordert, mir entsprechende Ände- 
rungsvorschläge vorzulegen. 

Bundesamt für Bevölkerungsschutz und 
Katastrophenhilfe (BBK) 

Im Berichtszeitraum habe ich ebenfalls den Datenschutz 
beim BBK geprüft. Meine Prüfungen erstreckten sich auf 
die verschiedenen datenschutzrelevanten Arbeitsberei- 
che, und zwar: Gemeinsames Lagezentrum von Bund und 
Ländern (GMLZ), Deutsches Notfallvorsorgeinforma- 
tionssystem (deNlS), Akademie für Krisenmanagement, 
Notfallplanung und Zivilschutz (AKNZ), Psychosoziale 
Notfallversorgung (PSNV)/Koordinierungsstelle Nach- 
sorge, Opfer- und Angehörigen-Hilfe (NOAH), den Be- 
reich Öffentlichkeitsarbeit, das Fachinformationssystem 
(FIS) und den Bereich Forschung. 

ln den für das Bund-Länder-Krisenmanagement wesentli- 
chen Bereichen GMLZ und deNlS habe ich keine daten- 
schutzrechtlichen Unzulänglichkeiten festgestellt. 

ln den anderen Bereichen ergibt sich zum Teil ein Opti- 
mierungsbedarf, zu dem mir das BBK seine Vorschläge 
mitgeteilt hat. Diese prüfe ich derzeit und werde sie so- 
dann mit der Behörde erörtern. 

8.11 Auswärtiges Amt 

Neben der datenschutzrechtlichen Kontrolle einer großen 
Auslandsvertretung ergab sich Gesprächsbedarf insbe- 
sondere zum Einsatz externer Dienstleister durch deut- 
sche Botschaften und Konsulate im Ausland. 

Zu Beginn des Berichtszeitraumes habe ich einen daten- 
schutzrechtlichen Kontroll- und Beratungsbesuch nach 
§ 24 BDSG bei einer großen deutschen Auslandsvertre- 
tung durchgeführt. Schwerpunkt der Kontrolle war die 
Verarbeitung personenbezogener Daten in der Rechts- 
und Konsularabteilung sowie die innerbehördliche Orga- 
nisation des Datenschutzes. 

Für diesen Besuch wurde auch der vor einigen Jahren er- 
arbeitete Runderlass „Datenschutz im Auswärtigen Amt 
und an den Auslandsvertretungen“ herangezogen. 

Neben einzelnen datenschutzrechtlichen Defiziten im Be- 
reich der Prüfungsschwerpunkte, z. B. beim Verfahrens- 
verzeichnis nach § 18 BDSG oder bei den Hinweisen auf 
Videoüberwachungsanlagen, zeigten sich größere Pro- 
bleme bei der Verarbeitung personenbezogener Daten zur 
Abrechnung von Beihilfe-Leistungen. Das Verfahren um- 
fasste die Verarbeitung teils sehr sensibler Daten nicht nur 
der Beamten selbst, sondern auch von deren Familienan- 
gehörigen, wobei die gebotene Vertraulichkeit medizini- 
scher Daten verletzt wurde. 

Beim Abschlussgespräch mit dem Leiter der Auslands- 
vertretung und im weiteren Dialog mit dem behördlichen 
Datenschutzbeauftragten des Auswärtigen Amtes habe 


ich auf eine datenschutzfreundliche Änderung des Ab- 
rechnungsverfahrens hingewirkt. Mittlerweile hat das 
Auswärtige Amt für alle Auslandsvertretungen ein geän- 
dertes Verfahren eingeführt, um Beihilfe-Leistungen ab- 
zurechnen. Dies begrüße ich. 

Ein weiterer Schwerpunkt meiner Tätigkeit war die 
Frage, ob und unter welchen Bedingungen die Auslands- 
vertretungen einzelne Aufgaben des Visum- Verfahrens an 
externe Dienstleistungserbringer auslagem dürfen. An ei- 
nigen Auslandsvertretungen mit sehr hohem Visum-Auf- 
kommen sollen bestimmte Dienstleistungen des Visum- 
Verfahrens künftig durch externe Dienstleister erbracht 
werden; dies betrifft insbesondere die Vereinbarung von 
Terminen bei den konsularischen Abteilungen sowie die 
Entgegennahme von Visum-Anträgen und die Prüfung 
der Unterlagen auf Vollständigkeit. Ich sehe die Auslage- 
rung dieser Aufgaben kritisch, denn sie ist mit Risiken für 
den Datenschufz von Visum-Antragsfellem und anderen 
in den Unterlagen genannten Personen (etwa Angehöri- 
gen und Einladem) verbunden. Insbesondere in nicht-de- 
mokratischen Staaten besteht die Gefahr, dass die ent- 
sprechenden Angaben in die falschen Hände geraten und 
dass den Betroffenen hieraus erhebliche Nachteile entste- 
hen. 

Grundsätzlich erlaubt der Europäische Visa-Kodex (Ver- 
ordnung [EG] Nr. 810/2009 des Europäischen Parlaments 
und des Rates vom 13. Juli 2009 über einen Visa-Kodex 
der Gemeinschaft; ABI. L 243 vom 15. September 2009) 
in Artikel 43 zwar das „Outsourcing“ bestimmter konsu- 
larischer Dienstleistungen. Derselbe Artikel 43 regelt je- 
doch auch, dass der hoheitliche Kembestandteil im 
Visum- Verfahren in der Verantwortung der Auslandsver- 
tretung verbleiben muss, d. h. die eigentliche Prüfung und 
die Entscheidung über einen Visum-Antrag müssen in je- 
dem Falle durch die Auslandsvertretung selbst erfolgen. 
Bevor Dienstleistungen ausgelagert werden dürfen, ist 
außerdem zu prüfen, ob andere Mittel - z. B. eine engere 
Zusammenarbeit der vor Ort befindlichen Auslandsver- 
tretungen der EU- Staaten, die an der gemeinsamen 
Visum-Politik teilnehmen - zur Verfügung sfehen und 
ebenso geeignet sind, eine Entlastung der Botschaften 
und Konsulate zu erreichen. Ferner legt ein Anhang zum 
Europäischen Visa-Kodex (Anhang V) „Mindestanforde- 
rungen“ fest, „die im Falle einer Zusammenarbeit mit 
externen Dienstleistungserbringem in den Vertrag aufzu- 
nehmen sind“. Im Falle des Outsourcings sind die Aus- 
landsvertretungen durch die Vorgaben des Europäischen 
Visa-Kodex verpflichtet, die vertragsgemäße Auftragser- 
füllung des Diensfleistungserbringers zu überwachen und 
zu diesem Zweck regelmäßig stichprobenartige Kontrol- 
len in dessen Räumlichkeiten durchzuführen. 

Für die Gewährleistung eines angemessenen Daten- 
schutzniveaus kommt es selbstverständlich darauf an, 
dass die Anforderungen des Europäischen Visa-Kodex 
durch die Auslandsvertretung und insbesondere durch et- 
waige externe Dienstleister in der Praxis zu jeder Zeit und 
in vollem Umfang beachtet werden. 

Bei meinen Gesprächen mit dem Auswärtigen Amt habe 
ich betont, dass höhere Effizienz bzw. Kosteneinsparun- 
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gen nicht zu Lasten des Grundrechtsschutzes gehen dür- 
fen und dass auch im Visum- Verfahren - unabhängig von 
dessen Ausgestaltung vor Ort - das Recht auf den Schutz 
der personenbezogenen Daten und der Privatsphäre der 
Antragsteller immer im Blick sein muss. Ich werde daher 
auch künftig das Visum- Verfahren und die Verarbeitung 
personenbezogener Daten in den Dienststellen des Aus- 
wärtigen Amtes kritisch begleiten, ggf vor Ort überprü- 
fen und mich für bestmögliche Lösungen im Sinne des 
Datenschutzes einsetzen. 

8.12 Internetabfrage aus dem Schuldner- 
verzeichnis 

Seit dem 1. Januar 2013 kann jeder, der ein legitimes In- 
teresse hat, das Schuldnerverzeichnis über das Internet 
einsehen. 

Bereits 2009 war mit dem Gesetz zur Reform der Sach- 
aufklärung in der Zwangsvollstreckung durch eine Ände- 
rung der Zivilprozessordnung (ZPO) die gesetzliche 
Grundlage zur Einführung elektronischer Einsichten in 
das Schuldnerverzeichnis geschaffen worden. Es oblag 
dem Bundesministerium der Justiz (BMJ), die Einzelhei- 
ten zur elektronischen Einsicht durch eine Rechtsverord- 
nung zu regeln (§ 882h Absatz 3 ZPO), was durch die 
Verordnung über die Führung des Schuldnerverzeichnisses 
(Schuldnerverzeichnisführungsverordnung - SchuFV) ge- 
schah, die am 1. Januar 2013 in Kraft getreten ist. Die 
ursprüngliche Fassung der SchuFV wies bei der sog. Je- 
dermannsauskunft (§8 SchuFV) erhebliche datenschutz- 
rechtliche Mängel auf Die Regelung konnte jedoch durch 
eine gemeinsame Initiative mit den LfD (vgl. Entschlie- 
ßung der Konferenz der Datenschutzbeauftragten des 
Bundes und der Länder vom 7. Februar 2012 - vgl. Kas- 
ten zu Nr. 8.12) verbessert werden. 

Ursprüngliche hatte der Entwurf für privafe Gläubiger nur 
die Angabe von Nachnamen, Vornamen oder Wohnort des 
Schuldners sowie Sitz des zentralen Vollstreckungsgerichts 
vorgesehen, um anschließend alle passenden Treffer über- 


mittelt zu bekommen. Bei der Angabe nur dieser wenigen 
Merkmale wäre es insbesondere in Großstädten und bei ge- 
bräuchlichen Nachnamen zur gleichzeitigen Übermittlung 
von Datensätzen vieler unterschiedlicher Schuldner kom- 
men. Es wären Datensätze übermittelt worden, an denen 
kein Bedarf besteht, und für den Gläubiger wäre nicht er- 
kennbar gewesen, welche Treffer sich auf die von ihm ge- 
suchte Person bezögen. 

Durch die gemeinsame Initiative mit den Landesdaten- 
schutzbeauftragten konnte hier eine Verbesserung erzielt 
werden. Nunmehr muss der private Gläubiger mindestens 
Vor- und Nachnamen sowie den Wohn- bzw. Aufenthalts- 
ort oder das zuständige zentrale Vollstreckungsgericht an- 
geben. Sind nach Eingabe dieser Daten mehrere Treffer 
gegeben, so erfolgt noch keine Übermittlung, sondern der 
Gläubiger muss zunächst das Geburtsdatum und gegebe- 
nenfalls auch den Geburtsort eingeben. Nur wenn nach 
Eingabe dieser Daten immer noch mehrere Treffer vorlie- 
gen, werden diese dann alle an den Gläubiger übermittelt. 

Bei der technischen Ausgestaltung der Einsicht müssen 
dazu die Vorgaben aus der Verordnung eingehalten wer- 
den. So sind durch die zuständigen Stellen bei Privatper- 
sonen Name, Vorname, Wohnort, Geburtsdatum und 
Geburtsort des Schuldners in das elektronische Schuld- 
nerverzeichnis einzugeben. Nur so kann bei Abrufen nach 
§ 8 SchuFV eine Übermittlung von Datensätzen zu meh- 
reren Schuldnern möglichst vermieden werden. Die 
Überwachung der elektronischen Einsichtnahme obliegt 
den Aufsichtsbehörden in den Ländern. 

ln diesem Zusammenhang begrüße ich auch den Be- 
schluss des Bundesrates vom 15. Juni 2012, der dem BMJ 
aufgibt, die SchuFV nach zwei Jahren unter datenschutz- 
rechtlichen Gesichtspunkten zu evaluieren und die LfD 
und mich über das Ergebnis zu unterrichten. 

Zeitgleich mit Inkrafttreten der SchuFV am 1. Januar 
2013 nahm das „Vollstreckungsportal“ seinen Betrieb 
auf, das die elektronische Einsichtnahme ermöglicht. 


Kasten zu Nr. 8.12 


Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 7. Februar 2012 

Schuldnerverzeichnis im Internet: Anzeige von Schuldnerdaten nur im Rahmen der gesetzlich legitimierten 
Zwecke 

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder fordert das Bundesministerium der Justiz 
auf, für einen besseren Datenschutz bei der geplanten Intemetabfrage aus dem Schuldnerverzeichnis Sorge zu tragen. 
Es sollen möglichst nur diejenigen Personen angezeigt werden, auf die sich der Abfragezweck bezieht. 

Wer eine Wohnung vermieten oder einen Ratenkredit einräumen will, möchte wissen, ob sein zukünftiger Schuldner 
Zahlungsschwierigkeiten hat. Er hat unter bestimmten Voraussetzungen ein legitimes Interesse an der Einsicht in das 
von den zentralen Vollstreckungsgerichten geführte Schuldnerverzeichnis. So können sich mögliche Geschäftspartner 
darüber informieren, ob ihr Gegenüber in wirtschaftliche Not geraten ist. 

Mit dem Gesetz zur Reform der Sachaufklärung in der Zwangsvollstreckung aus dem Jahr 2009 will der Gesetzgeber 
die Stellung des Gläubigers stärken. Das Gesetz sieht unter anderem vor, dass der Inhalt des Schuldnerverzeichnisses 
ab dem 1. Januar 2013 über eine zentrale und länderübergreifende Abfrage im Internet eingesehen werden kann. Die 
Ausgestaltung der damit wesentlich erleichterten Einsicht wird derzeit vom Bundesministerium der Justiz durch eine 
Rechtsverordnung im Einzelnen vorbereitet. 
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Die gesetzliche Regelung erlaubt Privatpersonen die Einsicht in das Schuldnerverzeichnis nur für bestimmte Zwecke, 
die bei einer Anfrage darzulegen sind, zum Beispiel, um wirtschaftliche Nachteile abzuwenden, die daraus entstehen 
können, dass Schuldner ihren Zahlungsverpflichtungen nicht nachkommen. Dennoch ist es derzeit vorgesehen, dass 
bereits nach Eingabe eines Nachnamens und des zuständigen Vollstreckungsgerichts eine Ergebnisliste mit allen Per- 
sonen angezeigt wird, auf die diese beiden Kriterien zutreffen. Da Vollstreckungsgerichte jeweils zentral für ein Bun- 
desland eingerichtet sind, erhielte die anfragende Person bei einer Vielzahl von zu erwartenden Namensgleichheiten 
auch Einsicht zu Angaben über Schuldner, deren Kenntnis sie zum angestrebten Zweck nicht benötigt. 

Es ist zu befürchten, dass beispielsweise Vermieter Mietinteressenten nicht berücksichtigen, weil im Schuldnerver- 
zeichnis namensgleiche Personen stehen und es ihnen zu mühsam oder zu schwierig erscheint, anhand weiterer An- 
gaben zu prüfen, ob es sich beim Mietinteressenten tatsächlich um eine der eingetragenen Personen handelt. Auch aus 
der Sicht der Gläubiger ist die Anzeige von derart umfangreichen Ergebnislisten wenig hilfreich, denn um den auf die 
Anfrage bezogenen Datensatz aus der Liste auswählen zu können, müssen ohnehin weitere Daten wie zum Beispiel 
der Vorname bekannt sein. Da es für Geschäftspartner erforderlich ist, mehr als nur den Nachnamen und den Sitz des 
zuständigen Vollstreckungsgerichts voneinander zu kennen, ist es auch nicht unangemessen, eine Einsicht von vorn- 
herein von weiteren Angaben abhängig zu machen. 

Aus Sicht des Datenschutzes ist eine Anzeige von Schuldnerdaten, die nicht vom legitimen Abfragezweck erfasst 
werden, zu vermeiden. Deshalb halten es die Datenschutzbeauftragten des Bundes und der Länder für notwendig, bei 
der Regelung der Einsicht in das Schuldnerverzeichnis die zwingende Angabe weiterer Identifizierungsmerkmale 
vorzusehen. 


8.13 Ausweitung des elektronischen 
Rechtsverkehrs 

Spätestens ab 2022 sollen nach einem Regierungsentwuff 
an allen Gerichten elektronische Dokumente eingereicht 
werden können und insbesondere Rechtsanwälte und Be- 
hörden verpflichtet werden, den elektronischen Zugang zu 
nutzen. Einige datenschutzrechtliche Fragen sind dabei 
noch nicht befriedigend geklärt. 

Der Grundstein für die Öffnung der Gerichte für die elek- 
tronische Kommunikation wurde 200 1 mit dem Gesetz zur 
Anpassung der Formvorschriften an den modernen Rechts- 
geschäflsverkehr (BGBl. 1 S. 1542) gelegt. Bundesregie- 
rung und Landesregierungen erhielten die Möglichkeit, in 
ihren Bereichen elektronische Dokumente zuzulassen, was 
bisher nicht in allen Ländern und Gerichtszweigen in 
gleichem Maße genutzt wurde. 

Der am 19. Dezember 2012 beschlossene Regierungsent- 
wurf zum elektronischen Rechtsverkehr enthält - abgese- 
hen von der Strafgerichtsbarkeit, für die es einen gesonder- 
ten Entwurf gibt - für alle Gerichtsbarkeiten Regelungen, 
die spätestens bis 2022 bei allen Gerichten elektronische 
Dokumente zulassen. Ab 2022 wären zudem insbesondere 
Rechtsanwälte und Behörden verpflichtet, Dokumente aus- 
schließlich elektronisch einzureichen. Privatpersonen 
bliebe auch künftig die Möglichkeit der Dokumentenvor- 
lage in Papier. 

Da im gerichtlichen Verfahren zahlreiche sensible perso- 
nenbezogene Daten übermittelt werden, darf die Kommu- 
nikation zwischen Parteien und Gericht nur auf sichere 
Weise erfolgen. Dies setzt die Gewährleistung von Au- 
thentizität, Integrität und Vertraulichkeit voraus. Authen- 
tizität und Integrität der Daten wird in dem Gesetzentwurf 
Rechnung getragen, während Regelungen zur Vertrau- 
lichkeit fehlen. Auch wenn sich die Verpflichtung zur 
Verschlüsselung aus anderen Regelungen, wie dem Be- 
rufsgeheimnis der Rechtsanwälte oder dem Sozial- oder 


Steuergeheimnis ableiten lässt, hatte ich gegenüber dem 
Bundesministerium der Justiz (BMJ) die Aufnahme von 
Regelungen zur Vertraulichkeit empfohlen. Die Empfeh- 
lung wurde durch das BMJ nicht umgesetzt, ln der über- 
arbeiteten Begründung wird jedoch klargestellt, dass sich 
die Vertraulichkeit nach den berufs- und datenschutz- 
rechtlichen Bestimmungen richtet. 

Ich werde das Gesetzgebungsverfahren weiter begleiten. 

8.14 Anti-Doping 

Der Datenschutz bei der Bekämpfung des Dopings im 
Sport ist sowohl auf nationaler als auch auf internationa- 
ler Ebene weiterhin ein wichtiges und kontrovers disku- 
tiertes Thema. 

Aufgrund aktueller Entwicklungen im internationalen Be- 
reich - zum einen die Bekanntmachung der Welt-Anti- 
Doping-Agentur (WADA), Anfang 2011 wesentliche Än- 
derungen im Anti-Doping Administration and Manage- 
ment System (ADAMS) (vgl. 22. TB Kasten zu Nr. 5.9) 
vorgenommen zu haben, zum anderen der Beginn der 
Überarbeitung des WADA-Codes im Jahr 2012 - wurde 
die WADA-Subgroup der Artikel-29-Gruppe reaktiviert, 
an der auch meine Mitarbeiter mitwirken. 

Im Februar 2012 hat die Artikel-29-Gruppe zunächst in 
einem von der WADA-Subgroup vorbereiteten Schreiben 
an die zuständige EU-Kommissarin die Datenschutzpro- 
bleme beim Anti-Doping- System der WADA dargelegt. 
Die EU-Kommission hatte sich zuvor für Dopingbekämp- 
fung in Übereinstimmung mit dem EU-Recht und unter 
Wahrung der Grundrechte, darunter auch des Datenschut- 
zes, ausgesprochen. Nach Ansicht der Artikel-29-Gruppe 
kann die Einwilligung der Sportlerinnen und Sportler in 
Dopingkontrollen nicht als Rechtsgrundlage für die Ver- 
arbeitung ihrer personenbezogenen Daten herangezogen 
werden. Zudem weist sie darauf hin, dass Datenübermitt- 
lungen aus der EU an die ADAMS-Datenbank und eine 
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Weiterübermittlung der Daten an andere Drittstaaten nur 
dann erfolgen könnten, wenn in dem jeweiligen Staat ein 
angemessenes Datenschutzniveau gewährleistet sei oder 
die Ausnahmetatbestände des Artikel 26 der Daten- 
schutzrichtlinie erfüllt seien. Sehr kritisch sieht die 
Gruppe weiterhin, dass aufgrund von Dopingverstößen 
verhängte Strafmaßnahmen im Internet veröffentlicht 
werden. Dies sei weder erforderlich noch verhältnis- 
mäßig. Schließlich fordert sie die WADA auf, die Verhält- 
nismäßigkeit der Erhebung „Whereabouts“ (Aufenthalts- 
daten zur Ermöglichung von Spontankontrollen) zu 
überprüfen und zumindest die Speicherzeit dieser Daten 
zu verkürzen. 

Seit Beginn des Jahres 2012 werden nun sowohl der 
WADA-Code als auch die dazugehörigen Standards, 
insbesondere auch der International Standard for the Pro- 
tection of Privacy and Personal Information (ISPPl) über- 
arbeitet. Dies soll Ende 2013 abgeschlossen sein. Im Rah- 
men des Überarbeitungsprozesses wird die Artikel-29- 
Gruppe prüfen, ob ihre Kritik aus früheren Stellungnah- 
men (Working Paper 156 vom 1. August 2008 und Wor- 
king Paper 162 vom 6. April 2009) in dem Entwurf für 
eine Überarbeitung der Regelungswerke aufgegriffen 
wurde, und wird gegebenenfalls verbleibende daten- 
schutzrechtliche Bedenken in einem Brief an die WADA 
geltend machen. 

9 Finanzwesen 

9.1 Steuerdaten-CD 

Die Diskussion um die Nutzung rechtswidrig erlangter 
Steuerdaten-CDs dauert an. Ob die Einfiihrung eines 
Straftatbestands der Datenhehlerei für Abhilfe sorgen 
kann, erscheint zweifelhaft. 

Ohne Zweifel ist der Ankauf im Ausland befindlicher 
Steuerdaten fiskalisch sehr lukrativ und sorgt für erhebli- 
che Mehreinnahmen des Staates in Zeiten der Finanz- 
krise. Auch im Hinblick auf den verfassungsrechtlich 
garantierten Grundsatz der Steuergerechtigkeit sind Ziel 
und Durchsetzung einer dem Gleichheitssatz des Arti- 
kel 3 Absatz 1 GG entsprechenden Besteuerung ein 
Grund, der auf den ersten Blick für den Ankauf von Steu- 
erdaten-CDs sprechen könnte, da so der Steuerflucht ins 
Ausland in gewissem Umfang Einhalt geboten und die 
Steuerhinterziehung effektiv verfolgt werden kann. 

Dabei sind aber die Grenzen des Rechtsstaats zu beach- 
ten, denn der Staat bedient sich letztlich der Hilfe Krimi- 
neller, die die eigentliche Datenerhebung durch „Daten- 
diebstahl“ vornehmen. Ich habe bereits mehrfach die 
Erforderlichkeit einer speziellen Rechtsgrundlage betont, 
damit die widerstreitenden Interessen und Rechtsgüter in 
einen angemessenen Ausgleich gebracht werden können 
(vgl. zuletzt 23. TB Nr. 9.1). Hieran ändert auch nichts, 
dass die Verwertbarkeit der Steuerdaten-CDs im straf- 
rechtlichen Ermittlungsverfahren vom Bundesverfas- 
sungsgericht (Beschluss vom 9. November 2010, 
2 BvR 2101/09) und im Besteuerungsverfahren von der 
Finanzgerichtsbarkeit (FG Köln, Beschluss vom 15. De- 


zember, 14 V 2484/10; FG Hamburg, Beschluss vom 
12. Oktober 2011, 3 V 117/11) grundsätzlich nicht bean- 
standet wurde. Denn der Ankauf der Steuerdaten-CDs 
findet nach wie vor in einer rechtlichen Grauzone statt 
und ist nicht unbeträchtlichen strafrechtlichen Risiken 
ausgesetzt, wie erst jüngst Haftbefehle aus der Schweiz 
gegen deutsche Steuerfahnder belegt haben. 

Eine höchstrichterliche Klärung dieser Frage fehlt bislang. 
Die deutschen Instanzgerichte sind bisher davon ausgegan- 
gen, dass die betroffenen Finanzbeamten weder deutsches 
Strafrecht noch Völkerrecht verletzen (vgl. LG Düsseldorf, 
Beschluss vom 11. Oktober 2010, 4 Qs 50/10; LG Bo- 
chum, Beschluss vom 7. August 2009, 2 Qs/09). So soll 
insbesondere der Ankauf der Daten durch die deutschen 
Finanzbehörden aufgrund der allgemeinen Ermittlungs- 
befugnis möglich sein. Eine solche extensive Auslegung 
dieser Befugnisse ist aus datenschutzrechtlicher Perspek- 
tive jedoch problematisch und schafft Raum für behörd- 
liche Willkür. Die Heranziehung von allgemeinen Er- 
mittlungsbefugnissen zur Rechtfertigung des Ankaufs der 
Steuerdaten kann angesichts der schweren Beeinträchti- 
gung vertraulicher personenbezogener Daten nicht über- 
zeugen und würde den Datendiebstahl zwangsläufig ba- 
gatellisieren. Rechtsstaatliche Vorgaben und allgemeine 
Prinzipien des Datenschutzes verlangen, dass der Gesetz- 
geber bei der Ausgestaltung einer Eingriffsgrundlage den 
Verwendungszweck bereichsspezifisch und präzise be- 
stimmt und die Daten für diesen Zweck geeignet und er- 
forderlich sind (BVerfG, Urteil vom 15. Dezember 1983, 
1 BvR 209/83 u. a.). 

Die momentan erwogene Ergänzung des Strafgesetzbu- 
ches um einen Tatbestand der Datenhehlerei (§ 259a 
StGB-E) in der Fassung, die der hessische Justizminister 
vorgeschlagen hat, überzeugt mich aber nicht. Zwar ist es 
aus datenschutzpolitischer Sicht durchaus zu begrüßen, 
den strafrechtlichen Schutz rechtswidrig erlangter perso- 
nenbezogener Daten wie auch anderer Daten (z. B. Pass- 
wörter oder sonstige Sicherungscodes) zu verbessern und 
im Strafgesetzbuch eine zentrale ergänzende Norm zu 
schaffen. Eine auch im allgemeinen Strafrecht verankerte 
Strafbarkeit des Ankaufs und Erwerbs illegal erhobener 
Daten kann daher neben den bisher schon bestehenden 
Regelungen (§§ 43, 44 BDSG) sinnvoll sein. Für schwer 
vermittelbar halte ich es aber, dass staatliches Handeln 
vom Tatbestand der Datenhehlerei ausgenommen werden 
soll - eine Lex Steuer-CD? 

9.2 Steueridentifikationsnummer 

In Bestrebungen, den Anwendungsbereich der Steuer- 
identifikationsnummer (Steuer-ID) weiter auszudehnen, 
sehe ich die Gefahr, dass diese sich doch zu einem verfas- 
sungswidrigen allgemeinen Personenkennzeichen entwi- 
ckelt. 

Immer wieder habe ich mich in fiüheren Tätigkeitsberich- 
ten mit der datenschutzrechtlichen Problematik der Steuer- 
identifikationsnummer (Steuer-ID) auseinandersetzen 
müssen (vgl. zuletzt 23. TB Nr. 9.2). Auch jetzt besteht 
wieder Veranlassung dazu. Die Steuer-ID dient der ein- 
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deutigen Identifizierung der Steuerpflichtigen im Besteu- 
erungsverfahren. Vor dem Hintergrund der stetig zuneh- 
menden elektronischen Übermittlung von steuerlichen 
Daten an die Finanzverwaltung soll sie die unverwechsel- 
bare Zuordnung dieser Daten zu einer bestimmten Person 
ermöglichen (z. B. bei Rentenbezugsmitteilungen oder 
Kontrollmitteilungsverfahren). Ziel ist die Gewährleis- 
tung einer gleichmäßigen Besteuerung und die Verhinde- 
rung etwaigen Missbrauchs. 

ln diesem Zusammenhang hat der Bundesfinanzhof die 
Steuer-ID als verfassungsgemäß eingestuft, da das Inte- 
resse der Allgemeinheit an einer gleichmäßigen Besteue- 
rung den Eingriff in das Recht auf informationelle Selbst- 
bestimmung rechtfertige (BFH, Urteil vom 18. Januar 
2012, 11 R 49/10), wobei aber der strikte Grundsatz der 
Zweckbindung und die Erforderlichkeit beachtet werden 
müssten. Dem Gesetzgeber steht es daher nicht frei, den 
Einsatz der Steuer-ID beliebig zu erweitern, da sich aus 
den datenschutzrechtlichen Anforderungen, die auch in 
§ 139b Absatz 2 bis 5 Abgabenordnung bereichsspezi- 
fisch verankert wurden, strikte Grenzen ergeben. 

Doch schon jetzt können andere Stellen wie Arbeitgeber, 
Rentenversicherungsträger, Träger der Sozialleistungen, 
Krankenkassen, Kreditinstitute und Kindergeldkassen die 
Steuer-ID in - allerdings eng umgrenzten - Fällen ver- 
wenden. Ich werde mich auch weiterhin gegen die wei- 
tere Ausdehnung des Verwendungsbereichs der Steuer-ID 
einsetzen. Immerhin habe ich unlängst gemeinsam mit 
dem Bundesministerium der Justiz erreichen können, 
dass in einen Referentenentwurf des Bundesministeriums 
der Finanzen für eine Verordnung zum Erlass und zur Än- 
derung steuerlicher Verordnungen die Verwendung der 
Steuer-ID mangels Erforderlichkeit doch nicht aufgenom- 
men wurde. 

Neuvergabe der Steuer-ID bei Adoptioueu uud 
Zeugeuscbutzprogrammeu 

Nach der bisherigen Gesetzeslage soll die Steuer-ID für 
jede natürliche Person nur einmal vergeben werden, um 
so eine hinreichende Beständigkeit und Eindeutigkeit der 
Zuordnung zu gewährleisten. Dieser Grundsatz ist zwar 
durchaus sinnvoll, er kann in bestimmten Fällen aber 
auch erhebliche Risiken bergen, sofern in Ausnahmekon- 
stellationen nicht von ihm abgewichen werden kann. Ge- 
rade bei Adoptionen oder Transsexuellen oder Personen, 
die dem Zeugenschutz unterfallen wäre eine Rückver- 
folgbarkeit zur alten Identität aufgrund der weiter beste- 
henden Steuer-ID grundsätzlich möglich. Dies wider- 
spricht aber dem besonderen Schutz dieser sensiblen 
Daten, wie er etwa im BDSG, im Zeugenschutz-Harmoni- 
sierungsgesetz, im Transsexuellengesetz und auch durch 
das Adoptionsgeheimnis gewährleistet wird. 

Das Recht auf informationelle Selbstbestimmung aus Ar- 
tikel 2 Absatz 1 i. V. m. Artikel 1 Absatz 1 Grundgesetz 
(GG) enthält auch das Recht des selbst gesteuerten Identi- 
tätsmanagements. Bei Sachverhalten, die durch eine 
besondere Schutzbedürftigkeit der jeweiligen personen- 
bezogenen Daten gekennzeichnet sind, können weitere 


Verfassungswerte (Adoption - Artikel 6 GG; Zeugen- 
schutz - Artikel 2 Absatz 2 GG) den Schutzanspruch er- 
höhen, sodass angemessene gesetzgeberische Maßnah- 
men zu treffen sind. Die lebenslange Beibehaltung der 
gleichen Steuer-ID kann in den vorstehend geschilderten 
Sachverhalten zu empfindlichen Schutzeinbußen führen, 
vor allem da eine weitreichende Streuung und Nutzung 
der Steuer-ID alles andere als ausgeschlossen ist. Gerade 
eine solche Rekonstruktion soll aber in Fällen der berech- 
tigten Änderung von Identitätsmerkmalen nicht möglich 
sein, wie sich eindeutig aus den gesetzlichen Wertungen 
ergibt. Dementsprechend erachte ich es in den vorgenann- 
ten Fällen (Adoption, Transsexuelle, Zeugenschutz) für 
geboten, eine mögliche Neuvergabe der Steuer-ID gesetz- 
lich zu verankern. 

Steuer-ID: Keine Löschung unter dieser Nummer? 

Die Löschung einer irrtümlich vergebenen Steuer-ID er- 
weist sich momentan noch als unnötig schwierig. Ein Pe- 
tent, der seit 1997 ausschließlich die französische Staats- 
angehörigkeit besitzt, bat mich, für ihn die Löschung der 
Steuer-ID beim Bundeszentralamt für Steuern (BZSt) 
durchzusetzen. Dem Petenten war auf Hinweis seiner 
Krankenversicherung vom BZSt irrtümlich eine Steuer- 
ID zugeteilt worden, obwohl er nicht mehr in Deutsch- 
land steuerlich geführt wurde und eine Steuer-ID dement- 
sprechend auch nicht hätte vergeben werden dürfen. 

Ich habe daher das BZSt darum gebeten, eine Löschung 
dieser Steuer-ID vorzunehmen und den Petenten hierüber 
zu informieren. Zwar hat das BZSt dies zugesagt, aber 
gleichzeitig darauf verwiesen, eine Löschung sei momen- 
tan noch nicht möglich, da sich ein entsprechendes Ver- 
fahren erst in der Vorbereitung befinde. Wie § 20 Ab- 
satz 2 Nummer 1 BDSG unmissverständlich vorgibt, sind 
personenbezogene Daten zu löschen, wenn ihre Speiche- 
rung unzulässig ist. Um eine Umsetzung dieser Verpflich- 
tung zu gewährleisten, ist die jeweilige verantwortliche 
Stelle gehalten, entsprechende Verfahren vorzuhalten. 
Diese technischen und organisatorischen Maßnahmen 
sind erforderlich, um eine gesetzeskonforme Durchset- 
zung des Datenschutzes zu gewährleisten. Eine endgül- 
tige Antwort des BZSt zur Löschung der Steuer-ID steht 
noch aus. Ich werde das Verfahren weiterhin kritisch be- 
gleiten. 

9.3 Jahressteuergesetz 201 3 - Kirchen- 
steuerabzug nicht datenschutzkonform 

Das automatisierte Verfahren für den Kirchensteuerabzug 
auf Kapitalerträge ist auch in seiner derzeitigen Ausge- 
staltung datenschutzrechtlich problematisch. 

In meinem 23. TB (Nr. 9.5) habe ich Mängel des automa- 
tisierten Verfahrens für den Kirchensteuerabzug auf 
Kapitalerträge eingehend dargestellt. Da es sich bei der 
Religionszugehörigkeit um ein besonders sensibles per- 
sönliches Merkmal handelt (vgl. § 3 Absatz 9 BDSG), 
sind auch entsprechend hohe datenschutzrechtliche An- 
forderungen an den Umgang damit zu stellen. 
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Im Rahmen der Beratungen des Entwurfes des Jahres- 
steuergesetzes 2013 habe ich darauf hingewiesen, dass 
die vorgesehene Regelung (vgl. § 51a Absatz 2c und 2e 
Einkommensteuergesetz - EStG) nicht den datenschutz- 
rechtlichen Anforderungen im Umgang mit den be- 
sonders sensiblen personenbezogenen Merkmalen der 
Religionszugehörigkeit gerecht wird. So hat nach § 51a 
Absatz 2c Nummer 3 EStG der Kirchensteuerabzugsver- 
pflichtete unter Angabe der Steueridentifikationsnummer 
(Steuer-ID) des Schuldners der Kapitalertragsteuer ein- 
maljährlich im Zeitraum vom 1. September bis 31. Okto- 
ber beim Bundeszentralamt für Steuern (BZSt) anzufra- 
gen, ob der Betroffene am 31. August des betreffenden 
Jahres (Stichtag) kirchensteuerpfiichtig war (Regelab- 
frage). Da die Regelabfrage nur für den Zeitraum vom 
1. September bis 31. Oktober vorgesehen ist, wird eine 
Änderung (z. B. Kirchenaustritt), die danach eintritt, 
nicht erfasst. Es wird weiterhin ein Kirchensteuerabzug 
vorgenommen und die steuerliche Belastung dauert somit 
fort. Auch besteht nicht die Möglichkeit der Anlassab- 
frage, denn diese ist nach § 51a Absatz 2c Nummer 3 
Satz 3 EStG nicht für alle die Religionszugehörigkeit be- 
treffenden Änderungen vorgesehen, sondern nur für Ka- 
pitalerträge (vgl. § 51a Absatz 2c Nummer 3 Satz 2 
EStG). 

Die Regelung berücksichtigt damit nicht ausreichend die 
höchstpersönliche Entscheidung des Steuerpflichtigen. So 
hat es bereits das Bundesverfassungsgericht für verfas- 
sungswidrig erachfet, wenn im Falle eines Kirchenaustritts 
der Steuerpflichtige noch bis zum Ende des laufenden 
Steueijahres zur Kirchensteuer herangezogen wird (vgl. 
BVerfG, Beschluss vom 8. Februar 1977, 1 BvR 329/71). 
Diese Wertung ist auf den vorliegenden Sachverhalt über- 
tragbar, sodass hier dringender Anpassungsbedarf be- 
steht. Der bloße Verweis auf die Einkommenssteuererklä- 
rung reicht nicht aus, um einen ausreichenden Schutz zu 
gewährleisten. 

Ich werde das zum Redaktionsschluss noch nicht abge- 
schlossene Gesetzgebungsverfahren zum Jahressteuer- 
gesetz 2013 weiterhin kritisch begleiten und darauf 
drängen, dass das automatisierte Verfahren für den Kir- 
chensfeuerabzug datenschutzkonform ausgestaltet wird. 

9.4 Darf ich Steuerakten nur im Finanzamt 
prüfen? 

Die Finanzverwaltung darf mein Prüfungsrecht nicht auf 
Einsichtnahme vor Ort beschränken - Grund für eine Be- 
anstandung. 

Aufgrund einer Eingabe habe ich unter Hinweis auf 
meine Kontroll- und Prüfbefugnisse nach § 24 Absatz 1 
i. V. m. Absatz 4 BDSG eine Familienkasse der Bundes- 
agentur für Arbeit (BA) um Übersendung einer Kinder- 
geldakte zur Prüfung gebeten. Die mit der Gewährung 
des Kindergeldes nach dem Einkommensteuergesetz 
(EStG) betraute Familienkasse der BA lehnt dies auf Wei- 
sung des Bundesministeriums für Finanzen (BMF) bis 
heute ab. Es bestehe lediglich ein Anspruch auf Aktenein- 
sicht vor Ort, nicht aber auf Übersendung der konkreten 


Akte. Wegen eines finanzgerichtlichen Verfahrens könne 
meiner Bitte aber auch tatsächlich nicht nachgekommen 
werden. 

Ich habe deshalb eine Verletzung meiner Kontroll- und 
Prüfbefugnisse nach § 24 Absatz 1 i. V. m. Absatz 4 
BDSG nach § 25 Absatz 1 Nummer 1 BDSG beanstan- 
det. Denn es besteht eine umfassende Unterstützungs- 
pfiicht der zu kontrollierenden öffentlichen Stellen, um 
eine effektive Kontrolle im Interesse des Schutzes des be- 
troffenen Bürgers zu ermöglichen. Diese Unterstützungs- 
pfiicht schließt auch die konkrete Durchführung mit ein, 
die meinem Ermessen obliegt. 

Auch nach der Beanstandung habe ich das BMF wieder- 
holt zur kurzfristigen Vorlage der bei der Familienkasse 
der BA geführten vollständigen Kindergeldakte auffor- 
dem müssen. Sollte die Akte der Familienkasse weiterhin 
aufgrund der benannten finanzgerichtlichen Auseinander- 
setzung nicht verfügbar sein, besieht für die Beteiligten 
nach § 78 Absatz 1 Finanzgerichtsordnung (FGO) ein 
Akteneinsichtsrecht sowie nach § 78 Absatz 2 FGO ein 
Recht auf Erteilung von Abschriften und daher die Mög- 
lichkeit, mir den betreffenden Akteninhalt zukommen zu 
lassen. Im Interesse der Petentin habe ich anlässlich einer 
Kontrolle bei der entsprechenden Familienkasse der BA 
die Kopie der Kindergeldakte vor Ort eingesehen. 

Eine dem § 24 Absatz 1 i. V. m. Absatz 4 BDSG entspre- 
chende Wahrung meines Einsichtsrechts werde ich aber 
weiterhin beim BMF einfordem. 

9.5 Immer mehr Kontenabrufe 

Das automatisierte Kontenabrufverfahren wird ständig 
erweitert. Dies betrifft den Kreis der Abrufberechtigten 
ebenso wie die Anzahl der getätigten Anfragen. Dies steht 
mit der ursprünglichen Absicht des Gesetzgebers nicht in 
Einklang. 

Die Nutzung des automatisierten Kontenabrufverfahrens 
nach § 93 Absatz 7 und 8 i. V. m. § 93b Abgabenordnung 
(AO) nimmt stetig zu, wie ein Blick auf die Statistiken 
des Bundeszentralamts für Steuern (BZSt) zeigt. Lag im 
Jahr 2010 die Anzahl der Kontenabrufe noch bei 57 933, 
waren es im Jahr 2012 bereits 72 578 Kontenabrufe, das 
entspricht einer Zunahme um ein Viertel im Berichts- 
zeitraum. Insgesamt wurden seit Beginn des Konten- 
abrufverfahrens im Jahr 2005 bis zum 3 1 . Dezember 
2012 333 652 Kontenabrufe verzeichnet (vgl. Kasten a 
und b zu Nr. 9.5). 

Auch der Kreis der Berechtigten, die eine Abfrage von 
Bankkundendaten vornehmen können, ist in den letzten 
Jahren zunehmend erweitert worden. Mittlerweile können 
etwa die Gemeinden in den Fällen des § 1 Absatz 2 AO 
die Kontenabfrage ebenso nutzen wie die Behörden, die 
zuständig sind für Grundsicherung für Arbeifssuchende 
nach dem SGB 11, für Sozialhilfe nach dem SGB Xll, für 
Ausbildungsförderung nach dem BundesausbildungsfÖr- 
derungsgesefz, für AufsfiegsfortbildungsfÖrderung nach 
dem Aufstiegsfortbildungsförderungsgesetz und für Wohn- 
geld nach dem Wohngeldgesefz. Der Gesetzgeber hat mit 
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Kasten a zu Nr. 9.5 


Abrufersuchen nach § 93 Absatz 7 und 8 Abgabenordnung 


□ Abrufersuchen in 2010 DSteigerung in 2012 zu 2010 in % 



Kasten b zu Nr. 9.5 


Abrufersuchen nach § 93 Absatz 7 und 8 Abgabenordnung 
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§ 93 Absatz 8 Satz 2 AO eine weitere Öffnungsklausel 
geschaffen, wonach ein Kontenabruf in anderen Fällen 
erfolgen darf, wenn dies durch Bundesgesetz ausdrück- 
lich zugelassen ist, sodass ab dem 1. Januar 2013 auch 
Gerichtsvollzieher ein Ersuchen stellen können (vgl. 
§ 8021 Zivilprozessordnung). Es ist daher zu erwarten, 
dass auch andere öffentliche Stellen bald ihr Interesse an- 
melden werden. 

Diese Ausdehnung ist schon deswegen kritisch zu sehen, 
weil die Zugriffsmöglichkeiten ursprünglich für die Bun- 
desanstalt für Finanzdienstleistungsaufsicht (BaFin) und 
die Strafverfolgungsbehörden vor dem Hintergrund der 
Bekämpfung der Terrorismusfinanzierung geschaffen wor- 
den sind. Ursprünglich verfolgtes Ziel war die Austrock- 
nung der Finanzströme des Terrorismus. Die nunmehr ver- 
folgten Zwecke stehen hiermit in keiner Verbindung und 
sind in ihrer Wertigkeit auch nicht mit der Terrorismusbe- 
kämpfung gleichzusetzen. Wenn bereits zum Zeitpunkt 
der Kontoeröffnung die Kontostammdaten automatisch 
als Datensatz gespeichert und dieser durch das Kontenab- 
rufverfahren verfügbar gemacht werden kann, erfolgt 
letztlich eine anlasslose Erfassung grundsätzlich aller 
Kontoinhaber in Deutschland. Da somit der Datensatz be- 
reits vorliegt, obwohl noch keine Erklärungspfiicht des 
Steuerpflichtigen besteht, ist von einer erheblichen Ein- 
griffsintensität auszugehen, die weit über die ursprüngli- 
chen Absichten des Gesetzgebers hinaus das Recht auf in- 
formationeile Selbstbestimmung tangiert. 

9.6 Datenpannen bei der Finanzagentur 

Die Finanzagentur versandte fast 12 000 fehlerhafte Jah- 
reskontoauszüge von Gemeinschaftskonten. Mindestens 
169 Jahreskontoauszüge inkl. der Jahressteuerbescheini- 
gungen 2011 gingen auf dem Postweg verloren. 

Das Bundesministerium der Finanzen (BMF) als Fach- 
aufsicht und die Bundesrepublik Deutschland Finanz- 
agentur GmbH (Finanzagentur) unterrichteten mich da- 
rüber, dass ihnen aufgrund von Kundenrückmeldungen zu 
bei der Finanzagentur geführten Gemeinschaftskonten 
11 965 Fälle bekannt geworden seien, in denen Jahres- 
kontoauszüge 2011 mit falsch ausgewiesener Eigen- 
tumsquote zugesandt bzw. Eigentumsquoten auf den Jah- 
reskontoauszug anderer Kunden gedruckt worden waren. 

Die Finanzagentur will als Konsequenz ihre internen 
Richtlinien dahingehend ändern, dass neue Komponenten 
in ihren IT-Systemen besser getestet, interne Zuständig- 
keiten neu geordnet und zusätzliche Kontrollen einge- 
führt werden. Die Empfänger der fehlerhaften Jahreskon- 
toauszüge wurden von der Finanzagentur inzwischen 
über den Fehler aufgeklärt und um Vernichtung des feh- 
lerhaften Jahreskontoauszugs bzw. um Rücksendung in 
einem beigelegten Rückumschlag an die Finanzagentur 
gebeten. 

Wie mich die Finanzagentur weiter informierte, haben 
sich bei ihr bis Ende August 2012 169 Kunden gemeldet, 
die keinen Jahreskontoauszug 2011 erhalten hatten. Es sei 
deshalb davon auszugehen, dass jedenfalls in den gemel- 
deten Fällen versandte Jahreskontoauszüge inkl. der Jah- 


ressteuerbescheinigungen 2011 auf dem Postweg verlo- 
ren gegangen sind. Der Finanzagentur liegen keine 
Hinweise vor, die verlorenen Sendungen könnten in die 
Hände Dritter gelangt sein. Sie gibt die gedruckten und 
kuvertierten Briefsendungen an ihren Postdienstleister, 
der die weitere Verteilung der Sendungen über seine 
Briefzentren veranlasst, ln einer Vielzahl der bekannten 
Verlustfälle haben die Empfänger außerhalb von dessen 
Einzugsbereich gewohnt. Dieser habe die Briefe deswe- 
gen an einen anderen Postdienstleister weitergereicht. 
Weitergehende Nachforschungen bei dem anderen Post- 
dienstleister seien nicht möglich, da die Sendungen als 
Standardbriefe versandt worden seien. Im Rahmen der 
Neuausschreibung der Postdienstleistung will die Finanz- 
agentur zur Minimierung von Zustellungsverlusten die 
Qualitätsanforderungen an die Ausschreibungsteilnehmer 
weiter präzisieren. 

Das BMF und die Finanzagentur haben mich in den ge- 
schilderten Fällen aktiv informiert und meine Rückfragen 
zeitnah und umfassend beantwortet. Aufgrund der ge- 
führten Gespräche und der Stellungnahmen kann davon 
ausgegangen werden, dass die Finanzagentur in Abstim- 
mung mit mir und ihrer Fachaufsicht das jeweils Erfor- 
derliche zur Schadensbegrenzung getan und geeignete 
Konsequenzen gezogen hat, um weitere Falschversen- 
dungen zu unterbinden. Aus den genannten Gründen habe 
ich in den geschilderten Fällen von einer formellen Bean- 
standung nach § 25 BDSG abgesehen. Ich werde das Ver- 
fahren weiterhin kritisch begleiten. 

9.7 Zoll Im Reallty-TV? 

Die Kontrolleinheit Verkehrswege (KEV) eines Haupt- 
zollamtes (HZA) hat mehrere von einem Fernsehsender 
ausgestrahlte Produktionen einer Reality-TV-Sendung 
unterstützt, ohne den Schutz der Persönlichkeitsrechte 
der Betroffenen sicherzustellen. 

Ein Petent machte mich auf mehrere von einem Fernseh- 
sender ausgestrahlte Beiträge einer Reality-TV-Sendung 
aufmerksam, die mit Unterstützung der KEV eines HZA 
produziert worden waren und in denen es um Zigaretten- 
und Rauschgiftschmuggel sowie um Fälle mit waffen- 
rechtlichem Hintergrund ging. Dabei wurden die betroffe- 
nen Privatpersonen in negativen Situationen - wenn auch 
verfremdet - dargestellt. Die Drehgenehmigungen wur- 
den der Produktionsfirma von der dem HZA Vorgesetzten 
Bundesfinanzdirektion (BFD) unter Hinweis auf daten- 
schutzrechtliche Vorschriften und die Persönlichkeitsrechte 
der Betroffenen erteilt. Soweit Bild- und Tonaufnahmen 
von Zollbeamten/innen oder beteiligten Dritten gemacht 
würden, sei zur Wahrung der Persönlichkeitsrechte deren 
vorherige Zustimmung einzuholen. Hinweise, die eine 
Identifizierung von Personen ermöglichten, seien auf ge- 
eignete Weise (z. B. Pixeln) zu anonymisieren. 

Die Datenschutzbeauftragten des Bundes und der Länder 
hatten auf ihrer 78. Konferenz am 8./9. Oktober 2009 die 
Mitwirkung von Behörden an „Reality-TV“ -Reportagen 
nicht vollständig abgelehnt, jedoch von der Erfüllung der 
in der Erklärung genannten Grundsätze zum Schutz der 
Persönlichkeitsrechte der Betroffenen abhängig gemacht 
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(vgl. Kasten zu Nr. 9.7). Ich habe deshalb anlässlich der 
Eingabe dem Bundesministerium der Finanzen (BMF) als 
Fachaufsichtsbehörde nahegelegt, den Betroffenen die für 
die Sendung abschließend bearbeiteten Aufnahmen zur 
Freigabe zur Kenntnis zu geben. Ein derartiges Verfahren 
könnte sich an die gängige Praxis der Autorisierung von 
Interviews anlehnen. Das BMF hat die BFD daraufhin an- 
gewiesen, Dreharbeiten in Reality-TV/Dokutainment- 
Formaten künftig nur noch bei Vorliegen einer vorab er- 
teilten, schriftlich dokumentierten Einwilligung zuzulas- 
sen. Aber auch ein solches Verfahren dürfte aufgrund der 
bei den Dreharbeiten gegebenen Überraschungssituatio- 
nen keinen wirksamen Schutz der Persönlichkeitsrechte 


der betroffenen Privatpersonen garantieren. Denn in was 
sollte ein Betroffener angesichts der ihn erwartenden Un- 
vorhersehbarkeiten im Voraus einwilligen? 

Auf meine Intervention hin hat das BMF schließlich ent- 
schieden, dass die Zollverwaltung unabhängig von den 
rechtlichen Hintergründen die Mitwirkung an Dreharbei- 
ten in Reality-TV/Dokutainment und ähnlichen Formaten 
bis auf weiteres aussetzen werde. Meine Zweifel, dass bei 
den betroffenen Privatpersonen der Schutz der Persön- 
lichkeitsrechte gewährleistet ist, konnten bislang nicht 
ausgeräumt werden. Ich werde die weitere Entwicklung 
aufmerksam verfolgen. 


Kasten zu Nr. 9.7 


Entschließung der 78. Konferenz der Datenschutzbeauftragten des Bundes und der Länder 
vom 8./9. Oktober 2009 

„Reality-TV“ - keine Mitwirkung staatlicher Stellen bei der Bloßstellung von Menschen 

„Reality-TV“-Produktionen über behördliche Einsätze haben in den letzten Jahren erheblich zugenommen. Justiz-, 
Polizei- und Sozialbehörden scheinen mittlerweile wichtige „Lieferanten“ für solche Fernsehsendungen zu sein, die 
einzelne Bürgerinnen und Bürger bloßstellen und dadurch erheblich in ihre Rechte eingreifen. Das Femsehpublikum 
ist dabei, wenn etwa eine Gerichtsvollzieherin versucht, einen Haftbefehl gegen einen Schuldner zu vollziehen - wo- 
bei auch schon einmal eine Wohnung zwangsgeöffnet wird - oder wenn die Polizei Verdächtige überprüft oder bei 
Verkehrsdelikten zur Rede stellt. Es kann vom heimischen Femsehsessel aus bequem mitverfolgen, ob Betroffene 
glaubwürdig Einsicht zeigen, unbelehrbar bleiben oder gar ausfällig werden. Aufgmnd des Erfolgs derartiger „Unter- 
haltungssendungen“ ist abzusehen, dass die Intensität und die Eingriffstiefe der gezeigten staatlichen Maßnahmen zu- 
künftig immer weiter zunehmen werden. 

Presse- und Öffentlichkeitsarbeit sind zwar gmndsätzlich notwendig, um die behördliche Aufgabenerfüllung darzu- 
stellen und den Informationsanspmch der Öffentlichkeit zu erfüllen. Dabei muss aber das Persönlichkeitsrecht der 
Betroffenen gewahrt werden, gerade wenn Unterhaltung und Befriedigung von Sensationslust im Vordergmnd ste- 
hen. 

Wird das Fernsehen durch zielgerichtete behördliche Unterstützung in die Lage versetzt, personenbezogene Filmauf- 
nahmen anzufertigen, ist dies rechtlich als Datenübermittlung an private Dritte zu werten. Für einen solchen massiven 
Eingriff in das Datenschutzgmndrecht der Betroffenen gibt es keine Rechtsgrundlage. Der Staat, der die Betroffenen 
zur Duldung bestimmter Eingriffsmaßnahmen zwingen kann, ist gmndsätzlich nicht befugt. Dritten die Teilnahme 
daran zu ermöglichen. Auch das Vorhegen einer wirksamen vorherigen Einwilligung der Betroffenen wird regelmä- 
ßig zweifelhaft sein. Für eine solche Einwilligung ist es insbesondere notwendig, die betroffene Person rechtzeitig 
über Umfang, Dauer und Verwendungszwecke der Aufnahmen aufzuklären und auf die Freiwilligkeit ihrer Einwilli- 
gung hinzuweisen. Angesichts der Überraschungssituation sowie der mit dem staatlichen Eingriff nicht selten ver- 
bundenen Einschüchtemng ist hier eine besonders sorgfältige Prüfung geboten. 

Die Datenschutzbeauftragten des Bundes und der Länder fordern deshalb alle Behörden auf, gmndsätzlich von der 
Mitwirkung an solchen „Reality“ -Reportagen Abstand zu nehmen. 
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10 Wirtschaft und Verkehr 

10.1 Smarte Stromzähler nur mit 

intelligentem Datenschutz 

Für den Einsatz ,, intelligenter“ digitaler Stromzähler sind 
datenschutzgerechte Lösungen in Sicht. Der durch das 
Energiewirtschaftsgesetz vorgegebene Rahmen bedarf 
noch der Konkretisierung durch eine Rechtsverordnung. 

Die Energiewende ist eine große ökonomische und ökolo- 
gische Herausforderung. Durch den Einsatz intelligenter 
Messeinrichtungen (Smart Meter) wird sie auch zum Da- 
tenschutzthema. Aus den Verbrauchsdaten können Rück- 
schlüsse auf die Lebensgewohnheiten der Nutzer gezogen 
werden. Deswegen setze ich mich für Lösungen ein, die 
- ohne Abstriche an der Funktionalität - auch dem Recht 
auf informationeile Selbstbestimmung der Nutzer Rech- 
nung tragen. 

Energiewirtschaftsgesetz 

Zu den datenschutzrechtlichen Herausforderungen, die der 
Einsatz von Smart Metern für alle Beteiligten mit sich 
bringt, habe ich bereits berichtet (vgl. 23. TB Nr. 5.1). Die 
Novellierung des Energiewirtschaftsgesetzes (EnWG) im 
Juni 2011 war ein erster großer Schritt. Die Datenschutz- 
regelungen im EnWG sehen eine enge Zweckbindung für 
den Umgang mit sensiblen Verbrauchsdaten sowie ver- 
bindliche Standards für die Datensicherheit vor. Ich 
konnte erreichen, dass § 21g EnWG einen abschließen- 
den Katalog vorgibt, für welche Zwecke die Erhebung, 
Verarbeitung und Nutzung personenbezogener Daten zu- 
lässig ist. § 21g EnWG legt fest, welche Stellen zur Ver- 
wendung der Daten berechtigt sind und stellt klar, dass 
datenschutzrechtliche Grundsätze wie Datenvermeidung 
und Datensparsamkeit auch für den Umgang mit perso- 
nenbezogenen Daten mit Hilfe intelligenter Messsysteme 
gelten. 

Das EnWG gibt jedoch nur die datenschutzrechtlichen 
Rahmenbedingungen vor. Die konkrete Ausgestaltung ist 
in einer Rechtsverordnung zu regeln. Ich hoffe, dass es 
auch hier gelingen wird, datenschutzrechtliche Belange 
angemessen zu berücksichtigen. 


Orientierungshilfe zum datenschutzgerechten Smart 
Metering 

Die Konferenz der Datenschutzbeauftragten des Bundes 
und der Länder hat im Juni 2012 eine Entschließung und 
eine ergänzende Orientierungshilfe mit Hinweisen zum 
datenschutzgerechten Smart Metering verabschiedet (vgl. 
Kasten zu Nr. 10.1). Diese soll unter anderem dem 
Gesetzgeber bei der Erarbeitung der Rechtsverordnung 
Hilfestellung geben. Die Orientierungshilfe gibt Empfeh- 
lungen zur datenschutzgerechten Konzeption von techni- 
schen Systemen für das Smart Metering. Anhand so ge- 
nannter Use Gases (Anwendungsfälle) wird beschrieben, 
wie die zentralen Forderungen des Datenschutzes nach 
Zweckbindung, Datensparsamkeit und Erforderlichkeit in 
der Praxis umgesetzt werden können. 

Nicht nur in Deutschland wird über die Anforderungen an 
den Datenschutz diskutiert, die bei der Einführung intelli- 
genter Energienetze und -Zähler zu beachten sind. Im 
März 2012 hat die Europäische Kommission „Empfeh- 
lungen zu Vorbereitungen für die Einführung intelligenter 
Messsysteme“ (Com(2012) 1342 final) herausgegeben. 
Darin fordert sie, den Schutz der Privatsphäre bei der Ver- 
arbeitung personenbezogener Daten durch intelligente 
Messsysteme in vollem Umfang zu gewährleisten. Dane- 
ben hat die Kommission das Mandat der von ihr Ende 
2009 eingesetzten Task Force „Smart Grids“ verlängert. 
Das Arbeitsprogramm der Expertengruppe 2 der Task 
Force für das Jahr 2012 sieht unter anderem die Entwick- 
lung eines Data Protection Impact Assessments (DPIA) 
für Smart Grids vor - eine Datenschutzfolgenabschätzung 
für intelligente Netze. 

Die Artikel-29-Gruppe nimmt, vertreten durch die Kolle- 
gen aus Frankreich, dem Vereinigten Königreich sowie 
dem Europäischen Datenschutzbeauftragten, als Be- 
obachter an den Sitzungen der Expertengruppe teil und 
wird sich nach Fertigstellung der finalen Version des 
DPIA dazu äußern. Die Stellungnahme wird die Techno- 
logy Subgroup unter meiner Leitung erarbeiten (vgl. 
hierzu Nr. 2.4. 1.2). 


Kasten zu Nr. 10.1 


Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder vom 27. Juni 2012 
Orientierungshilfe zum datenschutzgerechten Smart Metering 

Intelligente Energienetze und -Zähler sind ein zentraler Baustein zur Sicherstellung einer nachhaltigen Energieversor- 
gung im Sinne einer ressourcenschonenden, umweltfreundlichen und effizienten Produktion, Verteilung und Nutzung 
von Energie. Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder hat eine Orientierungshilfe 
beschlossen, die Empfehlungen zur datenschutzgerechten Konzeption von technischen Systemen für das Smart 
Metering enthält. Kernstück der Orientierungshilfe ist die Beschreibung und datenschutzrechtliche Bewertung sog. 
Use Gases, d. h. Anwendungsfälle, für die einzelnen Datenverarbeitungsprozesse beim Smart Metering unter Berück- 
sichtigung des jeweiligen Schutzbedarfs der Daten. 
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Die Datenschutzbeauftragten des Bundes und der Länder halten es für erforderlich, dass insbesondere folgende 

Punkte beachtet werden: 

- Eine Verarbeitung der Smart Meter Daten darf nur erfolgen, soweit es für die im Energiewirtschaftsgesetz aufge- 
zählten Zwecke erforderlich ist. 

- Die Ableseintervalle müssen so groß sein, dass aus dem Verbrauch keine Rückschlüsse auf das Verhalten der Nut- 
zer gezogen werden können. 

- Smart Meter Daten sollen möglichst nur anonymisiert, pseudonymisiert oder aggregiert übermittelt werden. 

- Es muss möglich sein, hoch aufgelöste Daten lokal beim Letztverbraucher abzurufen, ohne dass dieser auf eine 
externe Verarbeitung der Daten angewiesen ist. 

- Die Daten sollen an möglichst wenige Stellen übermittelt werden. 

- Es sind angemessene Löschfristen für die Daten festzulegen, um eine Vörratsdatenspeicherung zu vermeiden. 

- Die Kommunikations- und Verarbeitungsschritte von Smart Metering müssen zu jeder Zeit für den Lefztverbrau- 
cher sichtbar und nachweisbar sein. Er muss Zugriffe auf den Smart Meter erkennen und dies im Zweifel unterbin- 
den können. 

- Zusätzlich bedarf es durchsetzbarer Ansprüche der Betroffenen auf Löschung, Berichtigung und Widerspruch. 

- Der Letztverbraucher muss die Möglichkeit haben, einen Tarif zu wählen, bei dem möglichst wenig über seinen 
Lebensstil offenbart wird, ohne dass dies für seine Energieversorgung nachfeilig isf. 

- Smart Meter dürfen von außen nicht frei zugänglich sein. Es müssen eindeutige Profile für den berechtigfen Zu- 
gang zu den Daten definiert werden. Anhaltspunkte hierfür bieten die Vorgaben im Schutzprofil und in der Techni- 
schen Richtlinie des BSl. 

- Schon bei der Konzeption und Gestaltung der technischen Systeme muss die Gewährleistung des Datenschutzes 
berücksichtigt werden (Privacy by Design). Der Letztverbraucher muss mit Hilfe der Technik alle notwendigen 
Informationen, Optionen und Kontrollmöglichkeiten erhalten, die ihm die Kontrolle seines Energieverbrauchs und 
die Gestaltung seiner Privatsphäre ermöglichen, wobei der Stand der Technik nicht unterschritten werden darf 
Insbesondere müssen rechtlich verbindliche Vorgaben für die Konzepfion der Geräfe, Verfahren und Infrastruktu- 
ren sowie für deren Einsafz geschaffen werden. 


10.2 Speicherfristen für bonitätsbezogene 
Daten bei Wirtschaftsauskunfteien 

Der Petitionsausschuss des Deutschen Bundestages hat 
empfohlen, die geltende Rechtslage für Speicherfristen 
bonitätsbezogener Daten bei Wirtschaftsauskunfteien zu 
ändern und diese tagesaktuell zu halten. Für die zügige 
Umsetzung dieses Vorschlags setze ich mich ein. 

Wer ein Privatinsolvenzverfahren durchläuft, hat es in der 
Regel schwer, einen Kredit oder auch nur einen Handy- 
vertrag zu bekommen - jedenfalls zu erschwinglichen 
Konditionen. Daran ändert auch die Erteilung der Rest- 
schuldbefreiung vorerst nichts, weil die Tatsache der 
Restschuldbefreiung von Wirtschaflsauskunfteien gespei- 
chert und an die angeschlossenen Unternehmen gemeldet 
wird. Das Gesetz verpflichtet die Auskunfteien lediglich 
dazu, am Ende des dritten Kalenderjahres beginnend mit 
dem Kalenderjahr, das der erstmaligen Speicherung der 
Restschuldbefreiung folgt, die Erforderlichkeit der weite- 
ren Speicherung zu prüfen (§35 Absatz 2 Satz 2 Num- 
mer 4 BDSG). 

Besonders ärgerlich wird es für die Betroffenen, wenn das 
Amtsgericht die Restschuldbefreiung zu Beginn eines 
Kalenderjahres erfeilt. Denn das gesamfe laufende Jahr 


wird nicht in die Fristberechnung einbezogen, weil die 
dreijährige Prüffrist des § 35 Absatz 2 Satz 2 Nummer 4 
BDSG erst im folgenden Kalendeijahr beginnt. Der Be- 
troffene ist in diesem Fall also um ein ganzes Jahr 
schlechter gestellt als ein Betroffener, dem die Rest- 
schuldbefreiung im Dezember des Vorjahres erteilt wor- 
den ist - auch wenn zwischen beiden Restschuldbefreiun- 
gen nur wenige Tage liegen. Auf den Zeitpunkt der 
Restschuldbefreiung hat der Betroffene nur geringen Ein- 
fluss, weil dieser auch von der jeweiligen Arbeitsbelas- 
tung der zuständigen Gerichte abhängt. 

Der Petitionsausschuss des Deutschen Bundestages hat 
Bedenken an der geltenden Rechtslage im Hinblick auf 
das allgemeine Gleichbehandlungsgebot in Artikel 3 
Grundgesetz geäußert: Da das BDSG eine taggenaue Lö- 
schung des Eintrags über die Erteilung der Restschuldbe- 
freiung nach Ablauf von drei Jahren nicht vorsehe, son- 
dern die dreijährige Überprüfungsfrist zur weiteren 
Speicherung erst am 1. Januar des der erstmaligen Spei- 
cherung folgenden Kalenderjahres beginne, hänge es von 
dem Datum der Restschuldbefreiung ab, ob jemand genau 
drei Jahre, drei Jahre und beispielsweise sechs Monate 
oder drei Jahre und elfeinhalb Monate lang mit dem Ne- 
gativvermerk im Auskunfteidatenbestand gespeichert sei. 
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Das Petitum des Ausschusses, die Fristenregelung des 
§ 35 Absatz 2 Satz 2 Nummer 4 BDSG zu überdenken, 
unterstütze ich nachdrücklich. Ich habe mich an das Bun- 
desministerium des Innern (BMI) gewandt und mich für 
eine taggenau berechnete Speicherfrist, die mit dem Tag 
der Erteilung der Restschuldbefreiung beginnt, ausge- 
sprochen. Nur ein solcher Gleichlauf der Speicherfristen 
führt zu der gebotenen Gleichstellung aller Betroffenen. 
Die Speicherdauer von Insolvenzdaten bei Auskunfteien 
darf insbesondere nicht davon abhängen, ob der Betrof- 
fene seinen Wohnsitz zufällig in einem Amtsgerichtsbe- 
zirk mit hoher Auslastung oder einem mit niedrigerer Ar- 
beitsintensität hat. 

Gegenüber dem Bundesministerium der Justiz habe ich 
angeregt, eine stärker fristenorientierte Entscheidung der 
Insolvenzgerichte über die Erteilung der Restschuldbe- 
freiung bei Verbraucherinsolvenzen vorzusehen, um Ver- 
zögerungen bei der Erteilung der Restschuldbefreiung 
durch die Amtsgerichte weitgehend auszuschließen. 

Das BMI hat sowohl dem Petitionsausschuss des Deut- 
schen Bundestages als auch mir mitgeteilt, dass es keine 
Gründe sehe, an der bisherigen Fristenregelung festzuhal- 
ten und in Aussicht gestellt, eine Änderung des § 35 
BDSG im Kontext eines bereits laufenden Gesetzge- 
bungsverfahrens herbeizuführen. 

10.3 Aus dem Düsseldorfer Kreis 

Der Düsseldorfer Kreis wird auch nach seiner Eingliede- 
rung in die Organisationsstruktur der Datenschutzkonfe- 
renz auf die bundesweit einheitliche Auslegung des Da- 
tenschutzrechts im nicht-öffentlichen Bereich hinwirken. 

ln meinem lefzfen Tätigkeifsbericht hatte ich die Erwar- 
tung geäußert (vgl. 23. TB Nr. 10.4), die weitgehende Zu- 
sammenlegung der Datenschutzaufsicht im öffentlichen 
und nicht-öffentlichen Bereich auf Landesebene werde 
Änderungen in den bundesweiten Koordinierungsstruktu- 
ren nach sich ziehen. Dies hat sich als zutreffend erwie- 
sen. 

Mittlerweile ist der Düsseldorfer Kreis, vormals oberstes 
Abstimmungsgremium der Aufsichtsbehörden im nicht- 
öffentlichen Bereich, in die Datenschutzkonferenz integ- 
riert. Ich begrüße diese Neustrukturierung, weil sie zu ei- 
ner Verschlankung der Arbeitsstrukturen auf bundeswei- 
ter Ebene führt, ohne dass der Name „Düsseldorfer 
Kreis“ als Markenzeichen aufgegeben wird. Erhebliche 
Entlastungseffekte verspreche ich mir durch die Zusam- 
menlegung zahlreicher Arbeitsgruppen des Düsseldorfer 
Kreises mit Arbeitskreisen der Datenschutzkonferenz. 

Als Arbeitskreis der Datenschutzkonferenz trägt der Düs- 
seldorfer Kreis innerhalb seines weitgehend unveränderten 
Aufgabenfeldes weiterhin zur bundesweit einheitlichen 
Auslegung des Datenschutzrechts im nicht-öffentlichen 
Bereich bei. Als einziger Konferenz-Arbeitskreis kann er 
Beschlüsse fassen und nach außen vertreten, sofern es um 


einheitliche Rechtsanwendung geht. Datenschutzpoliti- 
sche Entscheidungen obliegen aber allein der übergeord- 
neten Datenschutzkonferenz. 

Den Entschluss, neben dem Bundesministerium des In- 
nern auch einen Vertreter der Innenministerien der Bun- 
desländer mit einem Gaststatus im Düsseldorfer Kreis zu 
versehen, sehe ich positiv. Hierdurch wird der Informa- 
tionsaustausch zwischen den Datenschutzbehörden und 
den Innenressorts des Bundes und der Länder weiter opti- 
miert. 

Deutlicher als in den Vorjahren hat sich die intemetba- 
sierte Datenverarbeitung als Schwerpunkt der Beratungen 
des Düsseldorfer Kreises herausgebildet. Unter anderem 
hat er zu den datenschutzrechtlichen Anforderungen an 
soziale Netzwerke, zur Nutzung von Smartphones und zu 
Cloud Computing-Diensten Stellung bezogen, ln einem 
weiteren Beschluss hat der Düsseldorfer Kreis die Mög- 
lichkeit der anonymen und pseudonymen Nutzung des In- 
ternets angemahnt. Schließlich hat er sich auch mit den 
Anforderungen des kontaktlosen Auslesens von Geld- 
karten über den Einsatz der so genannten Near Field 
Communication-Technologie (NFC) befasst, mit denen 
das unberechtigte Auslesen der auf der Karte gespeicher- 
ten Daten verhindert werden kann. Alle Beschlüsse des 
Düsseldorfer Kreises im Berichtszeitraum sind aus dem 
Kasten zu Nr. 10.3 ersichtlich und auf meiner Intemet- 
seite abrufbar. 


Kasten zu Nr. 10.3 


Beschlüsse des Düsseldorfer Kreises in den Jahren 

2011 / 2012 : 

- Datenschutz-Kodex des BITKOM für Geodaten- 
dienste unzureichend - Gesetzgeber gefordert 

- Datenschutzgerechte Smartphone-Nutzung ermögli- 
chen! 

- Datenschutzkonforme Gestaltung und Nutzung von 
Krankenhausinformationssystemen 

- Mindestanforderungen an den technischen Daten- 
schutz bei der Anbindung von Praxis-EDV-Syste- 
men an medizinische Netze 

- Datenschutzkonforme Gestaltung und Nutzung von 
Cloud-Computing 

- Beschäftigtenscreening bei AEO-Zertifizierung 
wirksam begrenzen 

- Anonymes und pseudonymes elektronisches Bezah- 
len von Intemetangeboten ermöglichen! 

- Datenschutz in sozialen Netzwerken 

- Einwilligungs- und Schweigepflichtentbindungser- 
klärung in der Versicherungswirtschaft 

- Nearfield Communication (NFC) bei Geldkarten 
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10.4 Datenschutz in der Versicherungs- 
wirtschaft 

Im Berichtszeitraum konnten wesentliche Verbesserungen 
beim Datenschutz in der Versicherungswirtschaft erreicht 
werden. 

Über viele Jahre musste ich in meinen Tätigkeitsberichten 
feststellen, dass dringend notwendige Verbesserungen 
beim Datenschutz in der Versicherungswirtschaft auf sich 
warten lassen und die Gespräche zwischen den Daten- 
schutzaufsichtsbehörden und dem Gesamtverband der 
Deutschen Versicherungswirtschaft (GDV) nur langsam 
vorankommen (vgl. 22. TB Nr. 3.4.7, 23. TB Nr. 10.7). 
Erfreulicherweise kann ich nun gleich zu mehreren Punk- 
ten über eine erfolgreiche Erhöhung des Datenschutz- 
niveaus bei der Verarbeitung personenbezogener Daten 
durch Versicherungsuntemehmen berichten. 

Mit einer neuen Einwilligungs- und Schweigepflichtent- 
bindungserklärung für die Erhebung und Verwendung 
von Gesundheitsdaten, der Entwicklung von Verhaltens- 
regeln für den Umgang mit personenbezogenen Daten 
nach § 38a BDSG sowie mit der Umstellung des Hin- 
weis- und Informationssystems (HIS) auf eine neue recht- 
liche Grundlage wurden fundamentale Voraussetzungen 
für eine datenschutzgerechte Datenverarbeitung in der 
Versicherungswirtschaft geschaffen. 

Neue Einwilligungs- und Schweigepflichtentbindungs- 
erklärung 

Für die Erhebung, Verarbeitung und Nutzung von Ge- 
sundheitsdaten durch Versicherungen ist weder im Bun- 
desdatenschutzgesetz noch im Versicherungsvertragsge- 
setz eine Rechtsgrundlage enthalten. Aus diesem Grund 
bedarf es stets einer datenschutzrechtlichen Einwilligung 
des Versicherungsnehmers sowie einer Schweigepflicht- 
entbindungserklärung. Die von den Versicherungsunter- 
nehmen bisher verwendete Musterklausel genügte schon 
seit langem nicht mehr den gesetzlichen Anforderungen 
des § 4a BDSG und entsprach auch nicht den Vorgaben, 
die das Bundesverfassungsgericht in einem Beschluss 
vom 23. Oktober 2006 für eine wirksame Schweige- 
pflichtentbindungserklärung gemacht hat (vgl. 21. TB 
Nr. 9.6). 

In langwierigen und zähen Verhandlungen haben sich die 
Datenschutzaufsichtsbehörden und der GDV gemein- 
sam bemüht, die Einwilligungs- und Schweigepflichtent- 
bindungserklärungen nicht nur gesetzeskonform, son- 
dern auch transparenter zu gestalten. Erst im Jahr 20 11 
konnte Einigung über eine neue Mustererklärung erzielt 
werden, die bei einwilligungsbedürftigen Datenerhe- 
bungs- und -Verwendungsprozessen einzuholen ist. Nach 
den entsprechenden Anwendungshinweisen ist die Klau- 
sel zudem in regelmäßigen Abständen vom GDV und den 
Aufsichtsbehörden gemeinsam zu überarbeiten, um ak- 
tuelle Entwicklungen der Datenverarbeitung und gesetzli- 


che Änderungen zu berücksichtigen. Der Düsseldorfer 
Kreis, ein Koordinierungsgremium aller Aufsichtsbehör- 
den für den Datenschutz im nicht-öffentlichen Bereich, 
hat diese Mustererklärung mit Beschluss vom 17. Januar 
2012 (s. Anlage 8) gebilligt und veröffentlicht. 

Die neue Mustererklärung wird flankiert durch Verhal- 
tensregeln für den Umgang mit personenbezogenen Da- 
ten in der Versicherungswirtschaft (s. u.). 

Hinweis- und Informationssystem (HIS) 

Im 23. TB (Nr. 10.7) habe ich bereits über die vom GDV 
geplante Neukonzeption eines Hinweis- und Informa- 
tionssystems (HIS) berichtet, die das alte Warnsystem 
„Uniwagnis“ ablösen und dazu beitragen sollte, einen da- 
tenschutzrechtswidrigen Zustand (vgl. 21. TB Nr. 9.5) zu 
beenden. Die Umstellung ist im Berichtszeitraum abge- 
schlossen worden. Am 1. April 2011 hat die Versiche- 
rungswirtschaft für die verschiedenen Versicherungsspar- 
ten das in enger Abstimmung zwischen dem GDV und 
der AG Versicherungswirtschaft des Düsseldorfer Kreises 
entwickelte Hinweis- und Informationssystem (HIS) in 
Betrieb genommen, das als Auskunftei von der Firma in- 
forma Insurance Risk and Fraud Prevention GmbH in Ba- 
den-Baden betrieben wird. 

Das HIS dient der Risikobeurteilung im Antragsfall, zur 
Sachverhaltsaufklärung bei der Leistungsprüfung sowie 
der Bekämpfung von Versicherungsmissbrauch. Rechts- 
grundlagen sind § 28 Absatz 1 Nummer 2 BDSG für die 
Einmeldung personenbezogener Daten in das System und 
§ 29 BDSG für die geschäftsmäßige Erhebung und Spei- 
cherung zum Zweck der Übermittlung. Liegen festgelegte 
Kriterien vor, werden in das System Auffälligkeiten aus 
Versicherungsfällen eingemeldet, z. B. atypische Schadens- 
häufigkeiten, besondere Schadensfolgen oder erschwerte 
Risiken. 

Die Versicherungsuntemehmen können Informationen 
zur Risikoprüfimg im Antragsbereich und zur Schadens- 
fallprüfung im Leistungsbereich im automatisierten Ver- 
fahren abrafen. Sämtliche Abfragen werden protokolliert 
und stichprobenartig überprüft. Antrags- und Leistungs- 
bereich sowie die einzelnen Versicherangssparten sind 
streng voneinander getrennt. Besondere Arten von perso- 
nenbezogenen Daten, wie z. B. Gesundheitsdaten, wer- 
den nicht an das HIS gemeldet. 

Die Betroffenen werden von der Versichemng über die 
Einmeldung ihrer Daten benachrichtigt. Dadurch können 
sie frühzeitig bei der Auskunftei einen Antrag auf Selbst- 
auskunft stellen, wenn sie Einzelheiten über die zu ihrer 
Person gespeicherten Daten wissen wollen. 

Die zuständige baden-württembergische Datenschutzauf- 
sichtsbehörde hat sich vor der Inbetriebnahme des Sys- 
tems davon überzeugt, dass HIS den datenschutzrechtli- 
chen Anfordemngen Rechnung trägt. 
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Verhaltensregeln für den Umgang mit personen- 
bezogenen Daten (Code of Condnet) 

Parallel zu den Bemühungen um eine datenschutzge- 
rechte Gestaltung der Einwilligungs- und Schweige- 
pfhchtentbindungserklärung (s. o.) wurden auch die Ge- 
spräche zwischen den Aufsichtsbehörden und dem GDV 
über Verhaltensregeln für den Umgang mit personenbezo- 
genen Daten in der Versicherungswirtschaft fortgesetzt. 
Über die Absicht, einen solchen so genannten Code of 
Conduct zu erstellen, hatte ich bereits im 22. TB 
(Nr. 3.4.7) berichtet. 

Ausgangspunkt war die Überlegung, dass sich die neue 
Einwilligungs- und Schweigepflichtentbindungserklä- 
rung auf die tatsächlich einwilligungsbedürftigen Daten- 
erhebungs- und -Verwendungsprozesse beschränken soll, 
während in Verhaltensrichtlinien die weiteren, auf einer 
gesetzlichen Grundlage beruhenden Datenverarbeitun- 
gen konkretisiert werden sollen. 

Im September 2012 haben alle Datenschutzaufsichtsbe- 
hörden dem endgültigen Entwurf zugestimmt. Daraufhin 
hat der GDV die Verhaltensregeln für den Umgang mit 
personenbezogenen Daten durch die deutsche Versiche- 
rungswirtschaft nach § 38a Absatz 2 BDSG der zuständi- 
gen Aufsichtsbehörde zur Überprüfung der Vereinbarkeit 
mit dem Datenschutzrecht vorgelegt. Mit Bescheid vom 
2. November 2012 hat der zuständige Berliner Beauf- 
tragte für Datenschutz und Informationsfreiheit festge- 
stellt, dass die Verhaltensregeln geeignet sind, die Durch- 
führung der datenschutzrechtlichen Regelungen zu 
fördern, und nicht im Widerspruch zum geltenden Daten- 
schutzrecht stehen. 

Der Code of Conduct der Versicherungswirtschaft ist ei- 
nes der wenigen Beispiele für eine gelungene Umsetzung 
des § 38a BDSG, der Wirtschaftsverbänden die Möglich- 
keit einräumt, den Datenschutzaufsichtsbehörden Verhal- 
tensregeln zur Förderung der Durchführung datenschutz- 
rechtlicher Regelungen zu unterbreiten (vgl. Nr. 3.4). 

Die Verhaltensregeln enthalten insgesamt 3 1 Artikel, in 
denen die wichtigsten Verarbeitungen personenbezogener 
Daten im Zusammenhang mit der Begründung, Durch- 
führung, Beendigung oder Akquise von Versicherungs- 
verträgen erfasst werden, u. a. auch die Nutzung des 
Hinweis- und Informationssystems HIS. Eine Evaluie- 
rungsklausel gewährleistet, dass bei jeder den Regelungs- 
gehalt betreffenden Rechtsänderung, spätestens aber nach 
fünf Jahren eine Überprüfung sfattfindet. 

Mit den Verhaltensregeln hat der GDV eine Vorreiterrolle 
übernommen und einen wesentlichen Beitrag zur Ent- 
wicklung der datenschutzrechtlichen Selbstregulierung in 
der Wirtschaft geleistet. Die dem GDV angeschlossenen 
Versicherungsuntemehmen sind nunmehr dazu aufgeru- 
fen, mit ihrem Beitritt zu den Verhaltensregelungen ein 
hohes Datenschutzniveau in der Versicherungswirtschaft 
zu gewährleisten. 


Die Verhaltensregeln waren bei Redaktionsschluss noch 
nicht veröffentlicht. 

10.5 Zusammenarbeit zwischen deutschen 
und amerikanischen Abschiussprüfer- 
aufsichtsbehörden 

Die deutsche Abschlussprüfemufsichtskommission (APAK) 
und die amerikanische Aufsichtsbehörde für Wirtschafts- 
prüfer (PCAOB) unterzeichnen eine Absichtserklärung 
zur Zusammenarbeit. 

Seit 2005 übt die APAK weisungsfrei die öffentliche 
Fachaufsicht über die Wirtschaftsprüferkammer und inso- 
weit über alle Wirtschaftsprüfer und vereidigten Buch- 
prüfer aus. Die amerikanische Aufsichtsbehörde für Wirt- 
schaftsprüfer, der Public Company Accounting Oversight 
Board (PCAOB), ist 2011 an mehrere europäische Länder 
mit dem Ziel herangetreten, eine bilaterale Vereinbarung 
abzuschließen, auf deren Grundlage Daten von europäi- 
schen Rechnungsprüferaufsichtsbehörden an den PCAOB 
übermittelt werden sollen. 

Auf europäischer Ebene enthält die Richtlinie 2006/43/EG 
über Abschlussprüfungen Regelungen zur Zusammen- 
arbeit mit zuständigen Stellen in Drittländern. Nach Arti- 
kel 47 der Richtlinie können die zuständigen Stellen der 
Mitgliedstaaten im Falle von Kontrollen und Untersu- 
chungen bei Abschlussprüfern die Weitergabe von Ar- 
beitspapieren an die zuständigen Stellen in Drittländern 
erlauben, sofern diese von der Europäischen Kommission 
für angemessen erklärt wurden. 

Mit Beschluss vom 1. September 2010 (2010/485/EG) 
hat die Kommission eine bis zum 31. Juli 2013 befristete 
Entscheidung über die Angemessenheit der zuständigen 
Stellen in den USA getroffen und damit die erste Voraus- 
setzung für den Informationsaustausch zwischen der 
APAK und dem PCAOB geschaffen (sog. Adäquanzent- 
scheidung). 

Nach Artikel 2 Absatz 4 des Beschlusses müssen die Mit- 
gliedstaaten zudem durch bilaterale Vereinbarungen si- 
cher stellen, dass bei der Übermittlung von Arbeitspapie- 
ren und Dokumenten an die zuständigen Stellen in den 
USA angemessene Maßnahmen zum Schutz der enthalte- 
nen personenbezogenen Daten gewährleistet werden. 

Die Artikel-29-Gruppe (vgl. Nr. 2.4.1) empfahl in einem 
Schreiben an die Kommission, wie sich Rechnungsprü- 
feraufsichtsbehörden bis zum Vorliegen einer endgültigen 
einheitlichen europäischen Lösung verhalten sollen. Da- 
nach sollte ein „Memorandum of Understanding - MoU“ 
der Europäischen Rechnungsprüferaufsichtsbehörde 
(EGAOB) als Interimslösung genutzt werden. 

Der PCAOB hat diese Lösung nicht akzeptiert und bereits 
im Laufe des Jahres 2011 mit einzelnen europäischen 
Staaten (Vereinigtes Königreich, Niederlande) bilaterale 
Vereinbarungen abgeschlossen. Er ist diesbezüglich auch 
an die deutsche APAK herangetreten. Die APAK hat 
mich über den Fortgang der Angelegenheit unterrichtet 
und am 12. April 2012 eine Vereinbarung mit dem 
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PCAOB unterzeichnet, die - basierend auf der niederlän- 
dischen Lösung - einzelne weitere datenschutzrechtliche 
Modifikationen berücksichtigt. Die bisher von dem 
PCAOB abgeschlossenen bilateralen Vereinbarungen 
(einschließlich die Vereinbarung mit der APAK) sind bis 
zum 31. Juli 2013 befristet, weil zu diesem Zeitpunkt die 
Adäquanzentscheidung ausläuft. 

Ich habe in der Unterarbeitsgiuppe Finanzen der Artikel-29- 
Gruppe das Verfahren begleitet. Die Kommission hat zu- 
gesagt, zu prüfen, ob für den Zeitraum nach dem 1. Au- 
gust 2013 eine einheitliche europäische Lösung umsetz- 
bar ist, und die Artikel-29-Gruppe über das Ergebnis zu 
unterrichten. 

10.6 Kontrollbesuch beim Bundes- 
ministerium für Ernährung, Land- 
wirtschaft und Verbraucherschutz 

Der behördliche Datenschutzbeauftragte ist Motor bei 
der Umsetzung von Datenschutz und Datensicherheit in 
der Praxis. Dies verdeutlichte ein Kontrollbesuch beim 
Bundesministerium für Ernährung, Landwirtschaft und 
Verbraucherschutz (BMELV). 

Zum Zeitpunkt meiner Kontrolle war die Datenschutzbe- 
auftragte des BMELV seit etwa neun Monaten im Amt. 
Die vorherige Vakanz auf diesem Posten hatte zu einem 
entsprechenden „Modemisierungsstau“ geführt, der erst 
nach Wiederbesetzung der Position des Datenschutzbe- 
auftragten durch die heutige Amtsinhaberin sukzessive 
aufgelöst werden konnte. Dabei habe ich das BMELV 
während und nach meinem Kontrollbesuch unterstützt. 
Das BMELV teilte mir mit, dass die Position des Daten- 
schutzbeauftragten künftig stets besetzt sein würde. 

Einen Schwerpunkt bei der Aufarbeitung der Rückstände 
bildete die Aktualisierung des IT- Sicherheitskonzepts. 
Meine diesbezüglichen Hinweise wurden vom BMELV 
aufgegriffen. 

Darüber hinaus hat das BMELV mit der Erstellung eines 
aktualisierten Datenschutzkonzepts begonnen und wird 
sich in Kürze mit der Überarbeitung einer Dienstverein- 
barung mit seinem Personalrat bezüglich der elektroni- 
schen Verarbeitung von Personaldaten beschäftigen. 

Außerdem wird das BMELV zeitnah eine Hausanordnung 
zur Sicherstellung des Datenschutzes im BMELV in Kraft 
setzen und die Präsidenten seiner Geschäftsbereichsbe- 
hörden bitten, entsprechende Hausanordnungen zu erlas- 
sen. 

Die Mitarbeiterinnen und Mitarbeiter des BMELV wer- 
den auf dieser Basis in Fragen des Datenschutzes und der 
Datensicherheit im Rahmen von Inhouse- Schulungen 
fortgebildet. 

Die vielfältigen Aktivitäten des BMELV zur Optimierung 
des Datenschutzes begrüße ich nachdrücklich. Ich bin da- 
von überzeugt, dass sich damit die Situation im Bereich 
von Datenschutz und Datensicherheit beim BMELV 
nachhaltig verbessern wird, und hoffe, dass das BMELV 
Beispiel auch für andere Bundesressorts ist. 


10.7 Kontrollbesuch beim Kraftfahrt- 
Bundesamt - ZEVIS-Protokolldaten 

Beim Kraftfahrt-Bundesamt (KBA) habe ich mich über 
den Umgang mit den Protokolldaten im Bereich des Zen- 
tralen Verkehrsinformationssystems (ZEVIS) informiert. 
Aufgrund meiner Empfehlungen wurde die Arbeitsanwei- 
sung zur Bearbeitung von Anfragen auf Datennutzung 
überarbeitet. 

Nach § 36 Absatz 6 Satz 1 Straßenverkehrsgesetz (StVG) 
hat das KBA die im automatisierten Verfahren mittels 
ZEVIS erfolgten Abrufe aus dem Zentralen Fahrzeugre- 
gister zu protokollieren. Die Protokolldaten müssen die 
zum Abruf verwendeten Daten, den Tag, die Uhrzeit, die 
Kennung der abrufenden Stelle und die abgerufenen Da- 
ten enthalten. Zusätzlich müssen nach § 36 Absatz 7 
StVG Informationen protokolliert werden, aus denen sich 
der Anlass des Abrufs und die für den Abruf verantwortli- 
che Person ergeben. 

Die protokollierten Daten dürfen für Zwecke der Daten- 
schutzkontrolle, der Datensicherung oder zur Sicherstel- 
lung eines ordnungsgemäßen Betriebs der Datenverarbei- 
tungsanlage verwendet werden (§36 Absatz 6 Satz 2 
StVG). Liegen Anhaltspunkte vor, dass ohne die entspre- 
chenden Daten die Verhinderung oder Verfolgung einer 
schwerwiegenden Straftat gegen Leib, Leben oder Frei- 
heit einer Person wesentlich erschwert wäre, dürfen die 
Daten auch für diesen Zweck verwendet werden (§36 
Absatz 6 Satz 3 StVG). 

Die Mitarbeiter des KBA müssen bei jeder Anfrage auf 
Nutzung der Protokolldaten das Vorliegen dieser Voraus- 
setzungen prüfen. Als Grundlage hierfür dient eine in- 
terne Arbeitsanweisung. Während der Kontrolle habe ich 
dem KBA diverse Empfehlungen zur Überarbeitung der 
Arbeitsanweisung gegeben. Insbesondere forderte ich, die 
Bearbeitung der Anfragen lückenlos zu dokumentieren. 
Es muss hieraus insbesondere das Ergebnis der Prüfung 
hervorgehen, ob der Anfragende gemäß § 36 Absatz 6 
StVG hierzu berechtigt war und der schriftlichen Anfrage 
eine stichhaltige Begründung beigefügt ist. Aus ihr muss 
weiterhin hervorgehen, dass die Nutzung der Protokollda- 
ten des KBA zwingend für einen der in § 36 Absatz 6 
Sätze 2 und 3 StVG genannten Zwecke erforderlich ist. 

Das KBA ist meinen Empfehlungen bezüglich der Ar- 
beitsanweisung gefolgt. Sie bietet nun auch eine gute 
Grundlage für die Dokumentation bei der Bearbeitung der 
Anfragen. 

10.8 Kontrollbesuch beim Kraftfahrt-Bundes- 
amt - Zentrales Kontrollgerätkarten- 
reglster 

Das Kraftfahrt-Bundesamt (KBA) führt das zentrale Kon- 
trollgerätkartenregister (ZKR) und personalisiert die zum 
Betrieb der Kontrollgeräte erforderlichen Chipkarten. 
Bei einer Kontrolle beim KBA habe ich keine Daten- 
schutzmängel festgestellt. 
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Zentrales Kontrollgerätkartenregister (ZKR) 

Das ZKR wird auf der Basis des Fahrpersonalgesetzes 
(FPersG) und der Fahrpersonalverordnung (FPersV) seit 
1 . Mai 2005 beim KBA geführt. Das Register wird benö- 
tigt, weil bei der Personen- und Güterbeförderung mit 
Fahrzeugen über 3,5 Tonnen zulässigem Gesamtgewicht 
grundsätzlich ein digitales Kontrollgerät mitgeführt wer- 
den muss. Das ZKR wird ausschließlich elektronisch ge- 
führt und enthält Informationen zu den in Deutschland 
ausgegebenen Kontrollgerätkarten. 

Fahrerkarten, auf denen neben den Personalien des Fah- 
rers, dessen Führerscheinnummer und seine Lenk- und 
Ruhezeiten gespeichert werden. 

Werkstattkarten, mit denen das Kontrollgerät geprüft, re- 
pariert und kalibriert wird. Sie enthalten Informationen 
über die autorisierte Werkstatt, den Kontrollgeräteherstel- 
ler, den Fahrzeughersteller sowie personenbezogene Da- 
ten der dort jeweils verantwortlichen Personen. 

Untemehmenskarten, mithilfe derer die im Kontrollgerät 
gespeicherten Daten angezeigt und heruntergeladen oder 
ausgedruckt werden können. Sie helfen dem Unterneh- 
mer bei der Organisation und internen Betriebskontrollen. 
Die Untemehmenskarten enthalten Informationen über 
das Unternehmen (z. B. Spedition, Busuntemehmen) so- 
wie personenbezogene Daten des verantwortlichen Unter- 
nehmers. 

Die Kontrollkarte ermöglicht den kontrollbefugten Be- 
hörden (z. B. Bundesamt für Güterverkehr, Polizei und 
Zoll) den Zugriff auf alle im Kontrollgerät gespeicherten 
Daten, um die Einhaltung von Lenk- und Ruhezeiten zu 
überwachen. Auf der Kontrollkarte sind ausschließlich 
Informationen über die kontrollbefugte Behörde und da- 
mit keine personenbezogene Daten gespeichert. 

Die Kontrollbehörden erhalten im Rahmen ihrer gesetzli- 
chen Befugnisse im Online-Dialog- Verfahren Auskünfte 
über im ZKR gespeicherte Daten. Sie haben hierauf aus- 
schließlich lesenden Zugriff Lediglich die Ausgabestel- 
len (i. d. R. Führerscheinstellen) haben die Befugnis, den 
„Kartenstatus“ im Falle des Verlustes einer Karte (z. B. 
Diebstahl, Zerstömng etc.) unmittelbar im Datenbestand 
des ZKR zu ändern. Anschließend muss der Inhaber der 
bisherigen Karte zwingend eine neue Karte auf elektroni- 
schem Weg beim KBA beantragen. 

Ich habe mich davon überzeugt, dass die vom KBA er- 
griffenen technisch-organisatorischen Maßnahmen zur 
sicheren Datenübertragung dem Stand der Technik ent- 
sprechen. Das KBA beachtet auch die einschlägigen Vor- 
schriften zur Registerfühmng. 

Personalisierung der Gerätekarten 

Das KBA personalisiert die Kontrollgerätkarten. Der Per- 
sonalisiemngsprozess umfasst sowohl den auf der Karte 
angebrachten und damit sichtbaren Teil (etwa Personalien 
und Bild des Karteninhabers), als auch die Digitalisierung 
des in den Karten etwa zur Speicherung der Lenk- und 


Ruhezeiten enthaltenen Mikrochips. Das KBA hat einen 
vom übrigen Teil seines Dienstgebäudes in Flensburg ab- 
geschotteten und nach innen und außen besonders abgesi- 
cherten Bereich eingerichtet. Ich konnte mich davon 
überzeugen, dass sowohl datenschutzrechtlich als auch 
datensicherheitstechnisch der gesamte Personalisierungs- 
prozess bis hin zum abschließenden Versand der Kon- 
trollgerätkarten optimal umgesetzt wurde. 

Teilnahme am Informationsaustausch 

Ebenfalls einwandfrei verläuft die Teilnahme des KBA 
am Telematics Network for the Exchange of Information 
Conceming the Issuing of Tachograph Cards (TACHO- 
net). TACHOnet ist eine von der EU-Kommission in 
Brüssel auf einem dortigen Server betriebene Plattform 
für den elektronischen Informationsaustausch zwischen 
den zur Ausstellung von Fahrerkarten zuständigen Behör- 
den der EU/EWR- Staaten auf der Basis der bei ihnen ge- 
führten nationalen Datenbanken. Für Deutschland ist dies 
das ZKR. 

Auf der TACHOnet-Plattform wird vor Ausstellung einer 
Fahrerkarte abgefragt, ob der Antragsteller eine solche 
Karte nicht bereits besitzt. Hierdurch wird sichergestellt, 
dass jeder Betroffene nur eine gültige Fahrerkarte hat, auf 
deren Mikrochip die Lenk- und Ruhezeiten aufgezeichnet 
werden. Dadurch können die Kontrollbehörden die Ein- 
haltung der Vorschriften effektiv überwachen. 

10.9 Eisenbahn-Bundesamt 

Im Rahmen eines Beratungs- und KontwUbesuchs habe 
ich das Eisenbahn-Bundesamt bei der datenschutzkonfor- 
men Einrichtung des neuen Triebfahrzeugßhrerschein- 
registers beraten. 

Mit der Richtlinie 2007/59/EG vom 23. Oktober 2007 
wurde mit dem Triebfahrzeugführerschein eine europa- 
weit einheitliche Fahrerlaubnis für Eisenbahnfahrzeuge 
mit eigenem Antrieb eingeführt. Dieser Führerschein soll 
sukzessive entsprechende nationale Fahrerlaubnisse ablö- 
sen. Ich habe das Bundesministerium für Verkehr, Bau 
und Stadtentwicklung (BMVBS) bei der Umsetzung der 
EU-Richtlinie in deutsches Recht durch die Triebfahr- 
zeugführerscheinverordnung (TfV) von 2011 infensiv be- 
raten. 

Triebfahrzeugführerscheinregister 

Anschließend habe ich auch das Eisenbahn-Bundesamt 
(EBA) bei der ihm durch die TfV übertragenen Führung 
des Triebfahrzeugführerscheinregisters beraten. Alle Da- 
ten, die für die Erfeilung, den Entzug und zur Information 
über den aktuellen Status eines Triebfahrzeugführer- 
scheins erforderlich sind, werden in diesem Register ge- 
speichert. Dessen Aufbau erfolgt in drei Schritten. Zum 
Zeitpunkt meines Besuchs hatte das EBA im ersten 
Schritt erst rund 100 Führerscheine ausgestellt. Ab Ende 
Oktober 2013 wird es im zweiten Schritt etwa weiteren 
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8 000 Triebfahrzeugführem einen entsprechenden Füh- 
rerschein aushändigen. Mit dem Vollaufbau des Registers 
ab Ende Oktober 2018 werden im dritten Schritt etwa 
30 000 Triebfahrzeugführer über einen entsprechenden 
Führerschein verfügen. Der Führerschein muss vom Inha- 
ber schriftlich beantragt werden. Alle erforderlichen 
Vordrucke und Ausfüllhinweise finden sich auf der 
Homepage des EBA. Diese wurden aufgrund meiner 
Empfehlungen optimiert. 

Die Registerführung, sowie die Erteilung und der Entzug 
der Triebfahrzeugführerscheine wird durch die eigens 
hierfür eingerichtete Triebfahrzeugführerscheinstelle des 
EBA vorgenommen. Zum Zeitpunkt meines Besuchs 
wurde das Register noch in einer Excel-Anwendung ge- 
führt, die im Laufe des Jahres 2013 durch eine Oracle- 
Apex-Datenbankanwendung abgelöst werden soll. Die 
Excel-Tabelle enthielt wesentlich mehr Datenfelder als in 
der TfV vorgesehen und konnte noch nicht alle Funktio- 
nalitäten erfüllen, wie z. B. die erforderliche Darstellung 
von Historien der Datensätze. Angesichts der geringen 
Zahl von rund 100 gespeicherten Datensätzen, der zu ih- 
rem Schutz gegen unbefugten Zugriff getroffenen tech- 
nisch-organisatorischen Maßnahmen und der avisierten 
zeitnahen Implementierung einer Datenbanklösung, habe 
ich diese Behelfsversion übergangsweise akzeptiert. Ich 
habe das EBA aber zur Löschung der nicht erforderlichen 
Datenfelder aufgefordert und gebeten sicherzustellen, 
dass die Integrität des Registers beim Datentransfer von 
der Excel-Tabelle in die Oracle-Datenbank gewährleistet 
wird. Dies wurde mir vom EBA zugesagt. Von der Um- 
setzung meiner Empfehlungen werde ich mich überzeu- 
gen. 

Triebfahrzeugführerscheine 

Zu den Aufgaben des EBA nach der TfV zählen auch die 
Herstellung, Personalisierung und Lieferung von Trieb- 
fahrzeugführerscheinen. Diese Aufgaben lässt das EBA 
durch die Bundesdruckerei auf der Basis eines Rahmen- 
vertrages erledigen. Die Verarbeitung personenbezoge- 
ner Daten erfolgt im Wege der Auftragsdatenverarbeitung 
nach § 11 BDSG. Hinsichtlich der Ausgestaltung des Ver- 
trages habe ich das EBA in datenschutzrelevanten Punk- 
ten um Präzisierung gebeten. Die im Rahmen des Ver- 
tragsvollzugs erforderliche Kommunikation des EBA mit 
der Bundesdruckerei erfolgt datenschutzkonform an ei- 
nem hierfür besonders eingerichteten Arbeitsplatz im 
EBA. 

Wie ich schließlich festgestellt habe, verlangt das EBA 
zur Prüfung der Voraussetzungen vom Antragsteller eine 
Kopie des Reisepasses oder des nationalen Personalaus- 
weises sowie eine Selbstauskunft aus dem Verkehrszen- 
tralregister („Punkteauskunft“). Da dies für die Aufga- 
benerfüllung des EBA erforderlich ist, toleriere ich das 
Verfahren unter der Voraussetzung, dass das BMVBS die 
hierfür erforderlichen Rechtsgrundlagen schafft. Der vor- 
gelegte Entwurf zur Übermittlung von Daten aus dem 
Verkehrszentralregister an das EBA begegnet keinen 
datenschutzrechtlichen Bedenken. Die erforderlichen 
Rechtsgrundlagen für die Vorlage einer Kopie des Reise- 


passes oder des nationalen Personalausweises will das 
BMVBS im Frühjahr 2013 in Angriff nehmen. 

10.10 Kontrollbesuch beim Bundesamt für 
Bauwesen und Raumordnung: 
Forschungsprojekte 

Ein Kontrollbesuch beim Bundesamt fiir Bauwesen und 
Raumordnung offenbarte Problembewusstsein. 

Im Berichtszeitraum habe ich einen Beratungs- und Kon- 
trollbesuch beim Bundesinstitut für Bau-, Stadt- und 
Raumforschung (BBSR), einer Abteilung des Bundes- 
amts für Bauwesen und Raumordnung (BBR), durchge- 
führt. Ich wollte mir anhand exemplarisch dargestellter 
Forschungsprojekte einen Überblick über die Arbeits- 
weise dieser Forschungseinrichtung verschaffen. 

Die vorgestellten Projekte waren datenschutzrechtlich im 
Wesentlichen nicht zu beanstanden. Lediglich die Frage, 
unter welchen Voraussetzungen bei extern vergebenen 
Forschungsaufträgen mit dem Forschungsnehmer ein 
Vertrag zur Auftragsdatenverarbeitung geschlossen wer- 
den muss, wurde zunächst kontrovers diskutiert. Auf- 
grund meiner Hinweise hat das BBR einen Mustervertrag 
für Verträge nach § 11 BDSG erarbeitet, der künftig in 
den entsprechenden Fällen Verwendung finden soll. 

Eines der vorgestellten Forschungsprojekte war das Pro- 
jekt „Bestandsaufnahme und Wirkungsanalyse des Wohn- 
geldes“. Wenn das Wohngeldgesetz (WoGG) geändert 
wird, gibt das BBR regelmäßig eine Studie zur Evalua- 
tion der jeweiligen Gesetzesänderung in Auftrag. 

Darüber hinaus wertet das BBSR regelmäßig und auch 
kurzfristig (zur Beantwortung besonderer Fragestellun- 
gen des Bundesministeriums für Verkehr, Bau und Stadt- 
entwicklung - BMVBS) die Stichprobe nach § 36 WoGG 
aus. Vereinzelt hat sie diese auch durch einen Auftragneh- 
mer auswerten lassen, dessen Mitarbeiter dazu auch einen 
„Arbeitsplatz“ (Raum mit Rechner) erhalten hat. 

Die Durchführung der Stichprobe durch Dritte ist generell 
unzulässig. Nach § 36 Absatz 2 WoGG dürfen die Einzel- 
angaben der Stichprobe vom Statistischen Bundesamt nur 
an das Ministerium oder das BBR übermittelt werden. 
Dabei hat das BBR eine Organisationseinheit einzurich- 
ten, die räumlich, organisatorisch und personell von ande- 
ren Aufgabenbereichen zu trennen ist. Die in dieser Orga- 
nisationseinheit tätigen Personen müssen Amtsträger oder 
für den öffentlichen Dienst besonders Verpflichtete sein. 
Diese gesetzlich vorgeschriebene räumliche, organisatori- 
sche und personelle Trennung innerhalb des BBR war 
bislang nicht vorhanden. 

Das BBSR hat begonnen, meine Hinweise umzusetzen. 
So muss die Arbeit an den Stichprobendaten auf einem 
nur hierfür eingesetzten PC erfolgen. Der Rechner muss 
in einem mit zugangscodierter Schließvorrichtung verse- 
henen Raum stehen, zu dem nur diejenigen Mitarbeiter 
Zutritt haben, die für die Bearbeitung zuständig sind. Die 
organisatorische Trennung könnte durch die Einrichtung 
einer Stabsstelle oder einer sonstigen von der üblichen Re- 
feratsstruktur abgetrennten Arbeitseinheit erreicht werden. 
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Die gleichzeitige Wahrnehmung von Aufgaben innerhalb 
der bisherigen Referatsstruktur ist nach meiner Auffas- 
sung dabei dann unschädlich, wenn sie außerhalb der für 
die Stichprobendurchführung zu schaffenden Strukturen 
und nicht mithilfe der dortigen Infrastruktur (z. B. PC) er- 
folgt. Ferner sind die Stichprobendaten unverzüglich 
nach Abschluss der diesbezüglichen Arbeiten zu löschen. 
Ich werde das BBSR in dieser Angelegenheit weiterhin 
unterstützen. 

10.11 Neue Verkehrsunternehmensdatei 

Die datenschutzgerechte Umsetzung europarechtlicher 
Vorgaben zum Außau eines elektronischen Untemeh- 
mensregisters für Kraftverkehrsunternehmer und zur Ein- 
richtung einer nationalen Kontaktstelle für den Informa- 
tionsaustausch mit den Mitgliedstaaten ist gelungen. 

Durch die Verordnungen (EG) Nr. 1071/2009, 1072/2009 
und 1073/2009 des Europäischen Parlaments und des Rates 
werden die Zulassung zum Beruf des Kraftverkehrsunter- 
nehmers, der Zugang zum Markt des grenzüberschreitenden 
Güterkraftverkehrs und der Zugang zum grenzüberschrei- 
tenden Personenkraftverkehrsmarkt grundlegend neu gere- 
gelt. Unter anderem werden die Mitgliedstaaten 
verpflichtet, einzelstaatliche elektronische Untemeh- 
mensregister aufzubauen und außerdem einzelstaatliche 
Kontaktstellen für den Informationsaustausch mit ande- 
ren Mitgliedstaaten einzurichten. Für Deutschland bedeu- 
tet dies eine Verbesserung der fachlich erforderlichen 
Kommunikation zwischen dem Bundesamt für Güterver- 
kehr (BAG) und den für Güterkraftverkehr zuständigen 
Stellen der Länder einerseits und zwischen dem BAG als 
nationaler Kontaktstelle und den nationalen Kontaktstel- 
len der übrigen EU-Mitgliedstaaten sowie den dort für 
Güterkraftverkehr zuständigen Stellen andererseits. 

Im Berichtszeitraum habe ich das BMVBS bei der inner- 
staatlichen Umsetzung dieser Verpflichtung beraten. Da- 
bei ging es insbesondere um das Gesetz zur Änderung des 
Güterkraftverkehrsgesetzes und des Personenbeforde- 
rungsgesetzes sowie die Verordnung zur Durchführung 
der Verkehrsuntemehmensdatei nach dem Güterkraftver- 
kehrsgesetz. Das BMVBS hat meine zahlreichen Vor- 
schläge zur datenschutzrechtlichen Optimierung des Ge- 
setzes und der Verordnungen dankenswerterweise 
übernommen. Die Regelungen sind mittlerweile in Kraft 
getreten. 

Noch während der Pilotphase habe ich mich beim BAG 
über die Umsetzung der gesetzlichen Vorgaben infor- 
miert. So ist das BAG als registerftihrende Stelle und 
nationale Kontaktstelle insbesondere zuständig für die 
Verfügbarkeit, Vertraulichkeit und Integrität der gespei- 
cherten Daten. Ebenso hat es Löschungsfristen und Proto- 
kollierungspflichten umzusetzen sowie technisch-organi- 
satorische Maßnahmen nach der Anlage zu § 9 BDSG zu 
ergreifen. Für die inhaltliche Richtigkeit der zu spei- 
chernden Daten ist die eingebende Stelle (i. d. R. die für 
den Güterverkehr zuständigen Landesbehörden) verant- 
wortlich. 


Die vom BAG während meines Besuchs vorgestellte DV- 
Anwendung setzte alle datenschutzrechtlichen Vorgaben 
des Güterkraftverkehrsgesetzes und der Verkehrsunter- 
nehmensdatei-Durchführungsverordnung um, sowohl 
hinsichtlich der Registerführung als auch hinsichtlich der 
künftigen Funktion des BAG als nationale Kontaktstelle. 
Die vom BAG getroffenen technischen Vorkehrungen 
entsprechen hohen datenschutzrechtlichen Standards. 

Im Anschluss an meinen Besuch teilte das BAG mir mit, 
dass der Wirkbetrieb der Registerdateien Mitte Novem- 
ber 2012 begonnen hat und dass es seit 1. Januar 2013 
seine Funktion als nationale Kontaktstelle ausübt. 

10.12 Forschungsprojekte bei der Bundes- 
anstalt für Straßenwesen 

Die Bundesanstalt für Straßenwesen geht mit personen- 
bezogenen Daten in Forschungsprojekten datenschutzge- 
recht um. 

Bei einem Informations- und Beratungsbesuch bei der 
Bundesanstalt für Straßenwesen (BASt) habe ich mir ei- 
nen Überblick über deren Forschungstätigkeit verschafft. 
Die BASt betreut jährlich etwa 200 eigene und 
400 fremde Forschungsprojekte. Davon weist die über- 
wiegende Anzahl keinen Personenbezug auf Exempla- 
risch habe ich mir jeweils ein eigenes und ein fremdes 
Forschungsprojekt erläutern lassen, bei denen personen- 
bezogene Daten verarbeitet und genutzt werden. Bei bei- 
den konnte ich eine hohe Sensibilität der Mitarbeiter für 
den datenschutzgerechten Umgang mit den personenbe- 
zogenen Daten feststellen. 

Hinsichtlich der Frage, unter welchen Voraussetzungen 
bei Forschungsprojekten zwischen Auftraggeber und For- 
schungsnehmer ein Vertrag zur Auftragsdatenverarbei- 
tung nach § 11 BDSG geschlossen werden muss, bin ich 
mit der BASt noch im Gespräch. Ebenfalls ist meine Be- 
ratung in Bezug auf das Datenschutzkonzept, das IT- 
Sicherheitskonzept und das Verfahrensverzeichnis der 
BASt noch nicht abgeschlossen. 

11 Gesundheit und Soziales 

11.1 Krankenversicherung 

11.1.1 Verschlechtert wirtschaftlicher Druck 
den Datenschutzstandard für die 
Versicherten? 

Beim Zusammenschluss von Krankenkassen ist darauf zu 
achten, dass der jeweils höhere Datenschutzstandard der 
Fusionspartner übernommen wird. 

Bei den regelmäßigen Beratungs- und Kontrollbesuchen 
der gesetzlichen Krankenkassen habe ich erfreulicher- 
weise festgestellt, dass viele Krankenkassen die in zu- 
rückliegenden Tätigkeitsberichten dargelegten Vorgaben 
für den Datenschutz in ihrem Bereich umgesetzt haben. 
Dies gilt insbesondere bei den größeren Krankenkassen. 
Allerdings habe ich auch konstatieren müssen, dass das 
Erreichte alles andere als sicher ist und bestehende Daten- 
schutzstandards insbesondere durch den verstärkten wirt- 
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schaftlichen Druck gefährdet sind, unter dem die Kran- 
kenkassen stehen. Dieser wirtschaftliche Druck führt zu 

unterschiedlichen datenschutzrechtlichen Problemen: 

- Private Krankenversicherungen (PKV) und gesetzli- 
chen Krankenkassen („Gesetzliche Krankenversiche- 
rung“ - GKV) arbeiten immer enger zusammen. Dies 
wird als „wichtiger Wettbewerbsvorteil“ beschrieben 
und beworben. Angestoßen wurde dies durch das Ge- 
setz zur Modernisierung der gesetzlichen Krankenver- 
sicherung (GMG) vom 14. November 2003 (BGBl. 1 
S. 2190), über das ich in meinem 20. Tätigkeitsbericht 
ausführlich berichtet habe (Nr. 17.1.1 und 17.1.2). Da- 
bei ist es zu Verstößen von Krankenkassen gegen 
datenschutzrechtliche Bestimmungen bei der Vermitt- 
lung privater Zusatzversicherungen gekommen 
(22. TB Nr. 10.2.4 und 23. TB Nr. 11.1.8, vgl. auch 
Nr. 16.10). 

- Wie die Presse gegen Ende des Berichtszeitraums mit- 
teilte, soll eine gesetzliche Krankenversicherung 
schwer kranke Versicherte zur Kündigung des Versiche- 
rungsverhältnisses gedrängt haben. Versicherte, gegen 
die wegen der Nichtzahlung des Zusatzbeitrages 
Mahnbescheide beantragt worden waren, wurden bei 
Vorliegen der Merkmale „schwere Krankheit“ und 
„geringes Einkommen“ telefonisch kontaktiert. Dem 
Hinweis der Krankenkassen, diese Merkmale seien le- 
diglich als Filter verwendet worden, um säumigen 
Versicherten mit Stundung, Erlass oder Niederschla- 
gung entgegenzukommen, stehen - mir vorliegende - 
Vermerke entgegen, die die Mitarbeiter der Kranken- 
kasse über ihre Gespräche führten. Sie vermitteln den 
Eindruck, die Versicherten hätten dazu gebracht wer- 
den sollen, das Versicherungsverhältnis zu beenden. 
Die datenschutzrechtliche Prüfung ist allerdings in 
diesem Fall noch nicht abgeschlossen. 

- Eine ganze Reihe Versicherter beschwerte sich bei 
mir, weil eine gesetzliche Krankenkasse anlässlich 
von Schulveranstaltungen oder sonstigen öffentlichen 
Veranstaltungen für Werbezwecke personenbezogene 
Daten bei ihren Kindern erhoben hat. Das OLG Hamm 
hat nun in einem Urteil vom 20. September 2012 
(4 U 85/12) festgestellt, die bei einem Gewirmspiel 
anlässlich einer Jobmesse von einer gesetzlichen 
Krankenkasse vorgenommene Datenerhebung (Name, 
Geburtsdatum, Kontaktdaten) bei 15-Jährigen sei un- 
zulässig. Das Urteil trägt hoffentlich dazu bei, die ge- 
setzlichen Krankenkassen davon abzuhalten, bei 
Schulveranstaltungen Daten bei Minderjährigen zu er- 
heben. 

- Nach Fusionen von Krankenkassen habe ich feststel- 
len müssen, dass sich die Harmonisierung beim 
Schutz der Sozialdaten häufig am schwächeren Daten- 
schutzstandard eines der Fusionspartner orientiert. Oft 
glaubten dabei die eher an der Wirtschaftlichkeit des 
neu entstandenen „Unternehmens“ orientierten Vor- 
stände, auf gesetzliche Vorgaben des Sozialdaten- 
schutzes verzichten zu können. Bemerkbar macht sich 
dies u. a. dadurch, dass sich Eingaben der Versicherten 
wieder um Themen drehen, die man mit den jeweili- 


gen Fusionspartnem teilweise bereits vor Jahren ge- 
klärt hatte. Dazu zählen z. B. auch die Themen Kran- 
kenhausentlassungsberichte und Selbstauskunftsbögen 
(vgl. auch Nr. 11.1.8). 

- Auch organisatorisch haben Fusionen bei den gesetzli- 
chen Krankenkassen Auswirkungen. So verlieren die 
bisherigen internen Datenschutzbeauftragten mit der 
Fusion ihrer Krankenkasse ihr Amt (vgl. Bundes- 
arbeitsgericht, Urteil vom 29. September 2010 - 
10 AZR 588/09). 

Ich werde bei künftiger Beratungs- und Kontrolltätigkeit 
der Frage nachgehen, inwieweit einmal erreichte Daten- 
schutzstandards eingehalten werden. Der verstärkte Wett- 
bewerb im Gesundheitswesen darf nicht zu Lasten des 
Datenschutzes und der Persönlichkeitsrechte gehen. 

11.1.2 Viel Lärm um die Hausarztzentrierte 
Versorgung 

Bei der Einschaltung privater Rechenzentren für die Ab- 
rechnung der Hausarztzentrierten Versorgung habe ich 
mich besonders dafür eingesetzt, dass es keine Abstriche 
beim Datenschutz gibt. 

Am 4. August 2011 trat § 295a SGB V in Kraft, der eine 
neue Rechtsgrundlage für die Einschaltung privater Drit- 
ter bei der Abrechnung der Hausarztzentrierten Versor- 
gung schafft, nachdem die Verträge zur Hausarztzentrier- 
ten Versorgung, die auf der alten Rechtslage gründeten, in 
mehreren Bundesländern aufgrund einer obergerichtli- 
chen Entscheidung ausgesetzt worden waren (vgl. 23. TB 
Nr. 11.1.1). Im Gesetzgebungsverfahren habe ich mich 
besonders dafür eingesetzt, dass das Datenschutzniveau 
bei der Abrechnung über private Stellen demjenigen bei 
der Abrechnung über die Kassenärztlichen Vereinigungen 
entspricht. Dies sollen verschiedene datenschutzrechtli- 
che Mechanismen gewährleisten. 

§ 295a Absatz 1 und 2 SGB V schafft die Rechtsgrund- 
lage für eine Abrechnung zwischen drei verschiedenen 
Akteuren: Dies erlaubt den Datenfluss bei der Abrech- 
nung zwischen „Leistungserbringern“ (Ärzten) und „Ver- 
tragspartnern auf Leistungserbringerseite“, etwa dem 
Hausärzteverband, sowie zwischen „Vertragspartnern auf 
Leistungserbringerseite“ und „anderen Stellen“, wie bei- 
spielsweise Rechenzentren. Beim Datenfiuss zwischen 
Ärzten und ihren Vertragspartnern handelt es sich um eine 
Datenübermittlung, beim Datenfiuss zwischen Vertrags- 
partnern und von diesen beauftragten Rechenzentren um 
Auftragsdatenverarbeitung im Sinne des § 11 BDSG ln 
beiden Verhältnissen gilt nach der neuen gesetzlichen 
Regelung das Sozialgeheimnis nach § 35 SGB 1 entspre- 
chend, auch soweit die Beteiligten keine Sozialleistungs- 
träger sind und daher nicht unmittelbar an das Sozialge- 
heimnis gebunden wären. Für das Verhältnis zwischen 
Vertragspartnern und deren Rechenzentren ordnet § 295a 
SGB V an, dass hier statt § 11 BDSG der für das Sozial- 
recht zugeschnittene § 80 SGB X gelten soll. Dies hat zur 
Folge, dass auch hier der Sozialdatenschutz greift. Hier- 
für habe ich mich im Gesefzgebungsverfahren besonders 
eingesetzt. 



Deutscher Bundestag - 17. Wahlperiode 


- 141- 


Drucksache 17/13000 


Grundlage der Teilnahme an der hausarztzentrierten Ver- 
sorgung ist die Einwilligung der Teilnehmer nach § 73b 
Absatz 3 SGB V. Diese Einwilligung umfasst auch die 
Abrechnung über private Stellen. Daher handelt es sich 
insoweit nicht um eine echte Einwilligung im Sinne des 
§ 67b Absatz 2 SGB X. Der oder die Versicherte sind zu- 
vor darüber zu informieren, dass die Einwilligung in das 
Versorgungsprogramm mit einer Abrechnung über pri- 
vate Dritte verbunden sein kann. Auch das war mir sehr 
wichtig. Im Verhältnis zwischen Hausärzteverband und 
Rechenzentrum habe ich mich zudem für einige Beson- 
derheiten eingesetzt: So findet § 80 Absatz 5 SGB X 
keine Anwendung und Unterauftragsverhältnisse sind 
grundsätzlich ausgeschlossen. Die Datenschutzaufsicht 
richtet sich nach § 38 BDSG 

Die Grundsatzentscheidung, bei der Abrechnung von 
ärztlichen Leistungen private Dritte zu beteiligen, ist ge- 
sundheitspolitischer Natur und unterliegt der Entschei- 
dungsprärogative des Gesetzgebers. Im Gesetzgebungs- 
verfahren war mir deshalb besonders wichtig, dass die 
Datenübermittlungen durchgängig dem Sozialgeheimnis 
unterliegen und dass es nicht zu einer Absenkung des da- 
tenschutzrechtlichen Schutzstandards kommt. Diese 
rechtliche Absicherung ist auch vor dem Hintergrund zu 
begrüßen, dass die befristete Vorgängerregelung Rechts- 
streitigkeiten nach sich gezogen hatte, die bundesweit zur 
Aussetzung der bestehenden Verträge zur Hausarztzen- 
trierten Versorgung führte. 

Die Vorschrift ist grundsätzlich neben § 295 Absatz Ib 
SGB V anwendbar, sodass die Ärzte nicht verpflichtet 
sind, private Dritte einzuschalten. Eine Abrechnung un- 
mittelbar zwischen Arzt und Krankenkasse i. S. v. § 295 
Absatz Ib SGB V bleibt danach möglich. 

ln vielen Bundesländern wurden auf Basis dieser geän- 
derten Rechtslage neue Verträge zur Hausarztzentrierten 
Versorgung geschlossen. Mehrere gesetzliche Kranken- 
kassen, die in meiner Zuständigkeit liegen, haben mir die 
entsprechenden Vertragsentwürfe vorgelegt. Datenschutz- 
rechtliche Probleme haben sich hierbei bislang nicht erge- 
ben. 

11.1.3 Das GKV-Versorgungsstrukturgesetz 

Die von mir im Gesetzgebungsverfahren zum GKV- 
Versorgungsstrukturgesetz vorgeschlagenen datenschutz- 
rechtlichen Verbesserungen, insbesondere zu den Trans- 
parenzregelungen (§§ 303a ff. SGB V), wurden berück- 
sichtigt. 

Mit dem „Gesetz zur Verbesserung der Versorgungs Struk- 
turen in der gesetzlichen Krankenversicherung (GKV- 
Versorgungsstrukturgesetz - GKV-VStG)“ vom 22. De- 
zember 2011 (BGBl. 1 S. 2983) soll dem Ärztemangel in 
ländlichen Regionen begegnet werden. Das Gesetz ent- 
hält auch eine Reihe wichtiger datenschutzrechtlicher 
Vorschriften, über die ich an anderer Stelle berichte (vgl. 
Nr. 4.1 und Nr. 11.1.4). 

Von besonderer Bedeutung ist hier die Neufassung der 
seit dem 1 . Januar 2004 bestehenden Transparenzregelun- 
gen (§§ 303a bis 303e SGB V). Danach dürfen Daten, die 


im Rahmen des morbiditätsorientierten Risikostruktur- 
ausgleichs (Morbi-RSA-Daten) erhoben worden sind, 
von den in § 303e SGB V genannten Einrichtungen 
(Krankenkassen, Kassenärztlichen Vereinigungen, Hoch- 
schulen, Patientenorganisationen, Bundesärztekammem, 
Institut für Qualität und Wirtschaftlichkeit im Gesund- 
heitswesen etc.) verarbeitet und genutzt werden, wenn 
dies für die Erfüllung ihrer Aufgaben erforderlich ist. Da- 
bei handelt es sich um Leistungs- und Abrechnungsdaten 
der Krankenkassen. Hiergegen habe ich keine grundsätz- 
lichen Bedenken, vor allem, da die Daten lediglich ano- 
nymisiert zur Verfügung gestellt werden und eine öffent- 
liche Datenaufbereitungsstelle bei jeder Anfrage die 
Erforderlichkeit prüft. Dabei geht es um eine Völlerhe- 
bung, in die alle 70 Millionen gesetzlich Versicherten ein- 
bezogen sind. 

Das Nähere regelt die Verordnung zur Umsetzung der 
Vorschriften über die Datentransparenz (Datentranspa- 
renzverordnung - DaTraV) vom 10. September 2012 
(BGBl. 1 S. 1895). An dem Datenaufbereitungsverfahren 
beteiligt sind drei Stellen: das Bundes versicherungsamt 
(BVA), die Vertrauensstelle und die Datenaufbereitungs- 
stelle. 

Zwar werden nach § 2 Absatz 1 und 2 DaTraV sowohl die 
Aufgaben der Vertrauensstelle als auch die Datenaufberei- 
tungsstelle durch das Deutsche Institut für Medizinische 
Dokumentation und Information (DlMDl) wahrgenom- 
men. Die datenschutzrechtlichen Bedenken hiergegen 
habe ich jedoch deshalb zurückgestellt, weil § 2 Absatz 3 
DaTraV bestimmt, dass Vertrauensstelle und Datenaufbe- 
reitungsstelle räumlich, organisatorisch und personell je- 
weils eigenständig geführt werden müssen. Die Umset- 
zung dieser Vorgaben werde ich mir sehr genau ansehen. 

Nach dem ursprünglichen Entwurf sollte die Vertrauens- 
stelle die gesamten Morbi-RSA-Daten (Leistungsdaten 
und Pseudonyme) erhalten, diese erneut pseudonymisie- 
ren und anschließend an die Datenaufbereitungsstelle 
weiterleiten. Datenschutzfreundlicher ist jedoch das nun- 
mehr umgesetzte Verfahren, bei dem das Bundesversiche- 
rungsamt die Leistungsdaten an die Datenaufbereitungsstelle 
imd die Pseudonyme an die Vertrauensstelle jeweils getrennt 
voneinander übermittelt (vgl. Kasten zu Nr. 11.1.3). 

Wichtig war mir auch, dass der Umfang, die Auswahl und 
das Verfahren der Übermittlung der Daten in den Trans- 
parenzvorschriften selbst oder zumindest in einer Rechts- 
verordnung hinreichend bestimmt sind. Dies betrifft vor 
allem den Umfang der vom Bundesversicherungsamt an 
die Vertrauensstelle zu übermittelnden Daten sowie die 
ausführliche Darsfellung des Pseudonymisierungsverfah- 
rens. 

Ich begrüße die Klarsfellung, dass die Aufgaben der Da- 
tentransparenz öffentliche Stellen des Bundes wahmeh- 
men sollen. Die Vertrauensstelle und die Datenaufberei- 
tungsstelle nach §§ 303c, 303d SGB V unterliegen 
meiner Datenschutzaufsicht. Beteiligt bin ich nun auch an 
der Auswahl der Daten, die für strukturierte Behand- 
lungsprogramme erforderlich sind. Bislang wurde dies 
durch Rechtsverordnung des Bundesgesundheitsministe- 
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riums geregelt, nun sollen Richtlinien des Gemeinsamen 
Bundesausschusses, an deren Entstehen ich nach § 91 
Absatz 5a SGB V zu beteiligen bin (vgl. Nr. 11.1.4), 
diese Daten festlegen. 

Weiter gibt es jetzt eine Übermittlungsbefugnis für den 
Austausch von Sozialdaten zwischen Krankenkassen 
bzw. Kassenärztlichen Vereinigungen für die Fehlverhal- 
tensbekämpfung im Gesundheitswesen (§ 197a und § 81a 
Absatz 3a SGB V). Die Erforderlichkeit einer Zusammen- 
arbeit ergibt sich sowohl im Bereich der Ermittlungen als 
auch im bei der Rechtsverfolgung. Da seit Einführung der 
Fehlverhaltensbekämpfungsstellen eine entsprechende 


Übermittlungsbefugnis fehlte, hatte sich ein Widerspruch 
ergeben zwischen dem datenschutzrechtlich Zulässigen 
und dem praktisch für die Fehl Verhaltensbekämpfung im 
Gesundheitswesen Erforderlichen. Dieser Widerspruch 
ist nunmehr beseitigt. 

Insgesamt bin ich mit der geltenden Fassung des GKV- 
VStG aus datenschutzrechtlicher Sicht durchaus zufrieden. 
Gleichwohl wurden und werden von verschiedenen Seiten 
Wünsche geäußert, die genutzte Datenbasis zu erweitern 
oder datenschutzfreundliche Lösungen aufzuweichen. Ich 
werde darauf achten, dass das festgelegte Datenschutzni- 
veau nicht unterschritten oder abgesenkt wird. 


Kasten zu Nr. 11.1.3 


Krankenkasse 


Krankenkasse 


Krankenkasse 


Krankenkasse 

übermittelt 


übermittelt 


übermittelt 


übermittelt 

morbi-RSA-Daten 


morbi-RSA-Daten 


morbi-RSA-Daten 


morbi-RSA-Daten 




G K V-S pitzenverband 

prüft auf Plausibilität und übermittelt die moit>i-RSA-Daten mit einem Pseudonym 


' Bundesversicherungsamt 

übermittelt an die Vertrauens- 
stelle eine Liste mit den vom 
GKV-Spitzenverband übermit- 
telten (temporäre) Pseudony- 
men 


übermittelt an die Datenauf- 
bereitungsstelle die von den 
Krankenkassen übermittelten 
Daten ohne Pseudonyme 



Vertrauensstelle 


überführt temporäre in permanente Pseudonyme 
und übermittelt diese an die Datenaufbereitungs- 
stelle 






Datenaufbereitungs- 
stelle 


verknüpft die permanenten Pseudonyme mit den 
übermittelnden Daten, bereitet sie auf und stellt 
sie für Zwecke nac h §303e SG B V zur Verfügung 



Datennutzer 

Bundes- und Landes ministerien, Krankenkassen sowie deren Bundes- und Landesverbände, Kassenarztlichen Vereinigun- 
gen, Hochschuien, Patientenorganisationen, Bundesarztekaminern, Spitzenorganisationen der Leistungserbringer auf Bun- 
desebenejJnstitutJUr_QualitätjindJWirtechaftlichkeintn_GesundheitswesenjJnstitutjles^Bewertut^^ 
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11.1.4 Stellungnahme bei Beschlüssen des 
Gemeinsamen Bundesausschusses - 
eine neue Aufgabe 

Seit dem 1. Januar 2012 ist mir bei Beschlüssen des Ge- 
meinsamen Bundesausschusses, die die Erhebung, Verar- 
beitung oder Nutzung personenbezogener oder personen- 
beziehbarer Daten regeln oder voraussetzen, Gelegenheit 
zur Stellungnahme zu geben. 

Der Gemeinsame Bundesausschuss (G-BA) wird von den 
Kassenärztlichen Bundesvereinigungen, der Deutschen 
Krankenhausgesellschafl und dem Spitzenverband Bund 
der Krankenkassen gebildet. Er beschließt insbesondere 
die zur Sicherung der ärztlichen Versorgung erforderli- 
chen und verbindlichen Richtlinien über die Gewährung 
für eine ausreichende, zweckmäßige und wirtschaftliche 
Versorgung der Versicherten. Er legt damit fest, welche 
Leistungen der medizinischen Versorgung von der gesetz- 
lichen Krankenversicherung erstattet werden. Darüber hi- 
naus beschließt er Maßnahmen der Qualitätssicherung für 
den ambulanten und stationären Bereich des Gesundheits- 
wesens. Im Einzelnen sind seine Aufgaben im Fünftem 
Buch Sozialgesetzbuch - Gesetzliche Krankenversiche- 
rung (SGB V) geregelt. 

Seit Anfang 2012 hat mir der G-BA - nach § 91 Absatz 5a 
SGB V - bei Beschlüssen, die die Erhebung, Verarbeitung 
oder Nutzung personenbezogener oder personenbeziehba- 
rer Daten regeln oder voraussetzen, Gelegenheit zur Stel- 
lungnahme zu geben. Diese Stellungnahme ist in die Ent- 
scheidung einzubeziehen. Der Gesetzgeber hat sich zu 
dieser Regelung entschlossen, da bei Beschlüssen und 
Richtlinien des G-BA „die Erhebung, Verarbeitung und 
Nutzung personenbezogener oder -beziehbarer Daten eine 
immer größere Rolle“ spielen und deshalb „eine frühzei- 
tige Berücksichtigung datenschutzrechtlicher Aspekte ... 
sicherzustellen“ ist (Bundestagsdrucksache 17/6906 S. 68). 

Im Rahmen dieser neuen Aufgabe habe ich u. a. Stellung 
genommen 

- zur redaktionellen Gestaltung von Richtlinien und den 
„Tragenden Gründen“, nicht zuletzt, um die daten- 
schutzrechtlich relevanten Regelungen auch für ver- 
sfändige Laien nachvollziehbarer zu gesfalten, 

- dazu, dass Regelungen durch den G-BA selbsf zu tref- 
fen sind und eine Subdelegation an eine beteiligte 
dritte Stelle nicht in Betracht kommt, 

- zur Statthaftigkeit einer vorgesehenen Datenerhebung 
nach dem SGB V und 

- zur Zulässigkeit einer Datenerhebung aufgrund einer 
Einwilligung. 

Die Prüfung und Stellungnahme zu den teilweise komple- 
xen und sehr umfangreichen Beschlussvorlagen des G-BA 
binden als neue Aufgabe in meinem Hause erhebliche 
personelle Ressourcen, die für anderweitige wichtige 
Aufgaben nicht mehr zur Verfügung sfehen. 

11.1.5 Das Lichtbild auf der Gesundheitskarte 

Die Aufforderung ihrer gesetzlichen Krankenkasse, ein 
Lichtbild für die neue elektronische Gesundheitskarte 


(eGK - vgl. Nr. 4.1) zu senden, stieß bei vielen Betroffe- 
nen auf Kritik. 

Im Berichtszeitraum erreichten mich zahlreiche Eingaben 
zu diesem Thema. Im „Gesetz zur Modernisierung der 
gesetzlichen Krankenversicherung (GKV-Modemisie- 
rungsgesetz - GMG)“ vom 14. November 2003 (BGBl. 1 
S. 2190) war bereits festgelegt worden, dass die Kranken- 
versichertenkarte u. a. ein Lichtbild enthalten muss 
(§ 291 Absatz 2 SGB V). Von Gesetzes wegen hätte „die 
Erweiterung der Krankenversichertenkarte um das Licht- 
bild . . . spätestens bis zum 1 . Januar 2006 . . . erfolgen“ 
müssen (§ 291 Absatz 2 a. E. SGB V). Die Aufnahme des 
Lichtbildes soll die eindeutige Zuordnung der Krankenver- 
sichertenkarte zum jeweiligen Karteninhaber verbessern, 
um damit Missbrauch zu verhindern (Bundestagsdrucksa- 
che 15/1525 S. 143). Später erfolgte eine gesetzliche Ein- 
schränkung insofern, als Versicherte bis zur Vollendung 
des 15. Lebensjahres sowie Versicherte, deren Mitwir- 
kung bei der Erstellung des Lichtbildes nicht möglich ist, 
eine Krankenversichertenkarte ohne Lichtbild erhalten. 
Über § 291a Absatz 2 Satz 1 SGB V muss ein Lichtbild 
auch auf der neuen eGK (vgl. Nr. 4.1) sein. 

Insoweit darf die zuständige Krankenkasse nach § 284 
Absatz 1 Satz 1 Nummer 2 SGB V die Bilddaten ihrer 
Versicherten erheben und speichern, da dies für die Aus- 
sfellung der Krankenversichertenkarte auch in Form der 
elektronischen Gesundheitskarte erforderlich ist. Auf die 
Frage, wie lange die Bilddaten gespeichert werden dür- 
fen, regelt § 304 Absatz 1 Satz 1 SGB V i. V. m. § 84 Ab- 
satz 2 SGB X: Sozialdaten sind danach zu löschen, wenn 
ihre Kenntnis für die verantwortliche Stelle zur rechtmä- 
ßigen Erfüllung der in ihrer Zuständigkeit liegenden Auf- 
gaben nicht mehr erforderlich ist und kein Grund zu der 
Annahme besteht, dass durch die Löschung schutzwür- 
dige Interessen des Betroffenen beeinträchtigt werden. Da 
die zuständige Krankenkasse aufgrund des bestehenden 
Versicherungsverhältnisses verpflichtet ist, im Falle des 
Defektes oder Verlustes eine Ersatzkarte auszustellen, er- 
lischt die Pflicht, die Bilddaten zu speichern, endgültig 
erst mit der Beendigung des Versicherungsverhältnisses. 
Zu diesem Zeitpunkt muss die gesetzliche Krankenkasse 
die gespeicherten Bilddaten löschen. 

ln einem erstinstanzlichen Urteil hat das Sozialgericht 
Düsseldorf entschieden, dass die eGK in der vorgesehe- 
nen Form nicht auf verfassungsrechtliche Bedenken stoße 
(Urteil vom 28. Juni 2012 - S 9 KR 111/09 -). Das Urteil 
bezieht sich nach Aussagen des Gerichts zunächst auf die 
jetzt in Umlauf gebrachte eGK, die lediglich die bisherige 
Krankenversichertenkarte ersetzt. Nach Presseberichten 
hat der Kläger gegen dieses Urteil Berufung eingelegt. 

11.1.6 Externe Beratungsstellen der Kranken- 
kassen - Nicht alle Informationen sind 
zulässig 

Eine große Krankenkasse berät ihre Mitglieder per Tele- 
fon nicht nur über Tarife und versicherungsrechtliche 
Fragen, sondern auch bei gesundheitlichen Problemen. 
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Diese Tätigkeit wurde einem externen Beratungsunter- 
nehmen übertragen. 

Eine Krankenkasse bot ihren Mitgliedern an, dass sie sich 
rund um die Uhr an sieben Tagen in der Woche bei ihrem 
Ärztezentrum „zu allen Fragen rund um Medizin und Ge- 
sundheit“ informieren könnten. Sie hatte hierzu mit ei- 
nem Unternehmen eine Vereinbarung zur medizinischen 
Beratung ihrer Mitglieder durch ärztliches Personal abge- 
schlossen und überließ dem Unternehmen die halbjähr- 
lich aktualisierten Stammdaten aller ihrer Mitglieder 
(Name, Adresse, Geburtsdatum, Telefonnummer, E-Mail- 
Adresse). Die Angaben sollten zu Abrechnungszwecken 
zwischen der Krankenkasse und dem Beratungsuntemeh- 
men erforderlich sein. Das Beratungsuntemehmen wiede- 
rum meldete der Krankenversicherung, aus welchem 
Grund das Mitglied angerufen hatte. Die automatisierte 
Mitteilung enthielt Angaben darüber, ob das Mitglied ei- 
nen Arzt/Zahnarzt oder ein Krankenhaus suchte oder eine 
medizinische, pharmakologische oder eine Beratung aus 
dem Bereich der Prävention wünschte. Weiterhin wurden 
Datum, Uhrzeit und Art des Kontaktes sowie der Anlass 
(versicherungsrechtliche oder medizinische Frage) mitge- 
teilt. Diese Informationen speicherte die Krankenkasse 
sechs Monate lang. Die ratsuchenden Versicherten blie- 
ben jedoch bei ihrem Anruf im Unklaren darüber, dass sie 
mit einem externen Unternehmen und nicht mit ihrer 
Krankenversicherung telefonierten. 

Ich habe zwar keine grundsätzlichen Bedenken, wenn die 
Krankenkassen ihrer Verpflichtung aus § 1 SGB IX i. V. m. 
§§ 13 und 14 SGB I sowie § II Absatz 4 SGB V zur Be- 
ratung und Aufklärung der Bevölkerung auch durch Ein- 
schaltung geeigneter ärztlicher Beratungsuntemehmen 
nachkommen. Dies darf aber nicht so weit gehen, dass die 
externen Berater alle Stammdaten der Versicherten der 
Krankenkasse jederzeit einsehen können. 

Die gesetzliche Krankenkasse hat meiner Kritik an dem 
Verfahren Rechnung getragen. Die beratenden Ärzte kön- 
nen jetzt nur noch auf die absolut notwendigen Stammda- 
ten des jeweiligen Anmfers zurückgreifen. Die Angaben, 
die der ärztliche Berater der Krankenkasse übermittelt, 
müssen sich ebenfalls auf das unbedingt notwendige Maß 
beschränken. Die Krankenkasse lässt sich nur noch Infor- 
mationen dazu übermitteln, ob ein Rückmf des beraten- 
den Arztes beim Versicherten erfolgte und ob das Kran- 
kenkassenmitglied eine versichemngsrechtliche oder eine 
medizinische Frage hatte. Diese Informationen werden 
getrennt von den allgemeinen Leistungsdaten zu Abrech- 
nungszwecken mit dem Beratungsuntemehmen gespei- 
chert und nach sechs Monaten gelöscht. Angaben zu 
gesundheitlichen Verhältnissen der Anrafer dürfen auf 
keinen Fall weitergegeben werden. 

Schließlich wird nun - auch auf meine Aufforderang hin - 
der Anmfer darüber informiert, dass er mit einem exter- 
nen Unternehmen und nicht mit seiner Krankenkasse tele- 
foniert. Gleichzeitig wird auf die datenschutzrechtlichen 
Gesichtspunkte hingewiesen, die auf der Intemetseite der 
Krankenkasse veröffentlicht sind. Damit wird sowohl von 
Seiten der Krankenkasse als auch von Seiten des Unter- 
nehmens eine ausreichende Transparenz hergestellt, da- 


mit der Betroffene weiß, mit wem er telefoniert, welche 
Daten gespeichert werden, wer Zugang zu diesen Daten 
hat und welche Daten an die Krankenkasse übermittelt 
werden. 

11 .1 .7 Wird der Medizinische Dienst der 
Krankenversicherung überfiüssig? 

Immer mehr Krankenkassen beauftragen externe Gutach- 
terstellen mit Aufgaben, die das Sozialgesetzbuch dem 
Medizinischen Dienst der Krankenversicherung (MDK) 
zugewiesen hat. 

In zahlreichen Eingaben, aber auch durch Hinweise von 
Verbänden und von Kollegen aus den Bundesländern 
wurde ich darauf aufmerksam gemacht, dass gesetzliche 
Krankenkassen immer häufiger externe Beratungsdienste 
damit beauftragen, Gutachten zu erstellen, die sie etwa 
bei Entscheidungen über Leistungsanträge unterstützen. 
Auch bei meinen Kontrollen im Berichtszeitraum habe 
ich dies feststellen müssen (vgl. auch Nr. 11.1.6, 11.1.8 
und 11.1.10). 

Die gesetzlichen Krankenkassen bemfen sich hierbei ent- 
weder auf eine „Datenverarbeitung im Auftrag“ nach 
§ 80 SGB X oder eine Beauftragung nach § 197b SGB V 
als Rechtsgmndlage. Bei einer „Datenverarbeitung im 
Auftrag“ handelt es sich lediglich um eine „Hilfsfunk- 
tion“, die mit einem Auftragsverhältnis im Sinne der 
§§ 662 ff. BGB nichts zu tun hat. Bei der Datenverarbei- 
tung im Auftrag bleibt der Auftraggeber auch weiterhin 
für den Umgang mit den Daten verantwortlich. Eine 
Übermittlung findet nicht statt, da der Auftragnehmer 
kein Dritter i. S. d. Gesetzes ist (§ 3 Absatz 8 Satz 3 
BDSG, § 67 Absatz 7 Satz 3 SGB X). Das Wesen eines 
Gutachters ist es aber gerade, dass er aufgrund der ihm 
zur Verfügung gestellten Daten eigenverantwortlich 
Schlussfolgerungen für die tatsächliche Beurteilung eines 
Geschehens oder Zustands ableitet. Dies geht also weit 
über eine „Hilfsfirnktion“ hinaus. Es handelt sich daten- 
schutzrechtlich um eine Funktionsübertragung und damit 
ist die Bekanntgabe personenbezogener Daten an einen 
Gutachter eine „Übermittlung“ im Sinne von § 3 Absatz 4 
Nummer 3 BDSG und § 67 Absatz 6 Nummer 3 SGB X. 
Hiervon gehen auch das Bundesversicherungsamt (BVA) 
und die staatlichen Aufsichtsbehörden der Länder aus. 

Nach § 197b SGB V können gesetzliche Krankenkassen 
ihnen obliegende Aufgaben grundsätzlich Dritten übertra- 
gen, wenn die Aufgabenwahmehmung dadurch wirt- 
schaftlicher ist, es im Interesse der Betroffenen liegt, die 
Rechte der Versicherten nicht beeinträchtigt werden und 
keine wesentliche Aufgabe zur Versorgung der Versicher- 
ten in Auftrag gegeben wird. Ich habe erhebliche Zweifel, 
ob diese Voraussetzungen hier vorliegen. So fragt sich 
schon, ob es wirtschaftlicher ist, eine zusätzliche Stelle 
mit einem Gutachten zu beauftragten, obwohl mit dem 
MDK eine Stelle vorhanden ist, die von den gesetzlichen 
Krankenkassen im Umlageverfahren finanziert wird 
(§ 281 Absatz 1 Satz 1 SGB V), zu deren gesetzlichen 
Aufgaben es gehört, sozialmedizinische Gutachten zur 
Klärung von Sachverhalten zu erstellen. Den Kranken- 
kassen obliegt es zudem, den MDK so auszustatten, dass 
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er Prüfaufträgen in angemessener Zeit nachkommen 
kann. Zwar kann es in Einzelfällen notwendig sein, einen 
externen Gutachter heranzuziehen. Dies hat allerdings 
durch den MDK zu geschehen (§ 279 Absatz 5 Satz 1 
2. Halbsatz SGB V), mit der Folge, dass die Gutachten an 
den MDK und nicht an die gesetzliche Krankenkasse zu 
erstatten sind. Sie unterliegen auch den Vorgaben des 
§§ 275 ff. SGB V. Eine Beauftragung von externen medi- 
zinischen Gutachtern durch die gesetzlichen Krankenkas- 
sen führt dagegen zur Umgehung dieser gesetzlichen Re- 
gelungen. 

11.1.8 Rechtfertigt das „Krankenfall- 
management“ die Erhebung 
zusätzlicher Daten? 

Arbeitsunfähige Versicherte werden von gesetzlichen 
Krankenkassen unzulässig ausgefragt - bisweilen wird 
versteckt mit Leistungsverweigerung oder -entzug ge- 
droht. 

ln den vergangenen Monaten wurde in der Presse immer 
wieder kritisiert, dass gesetzliche Krankenkassen umfas- 
send Daten über solche Versicherte erheben, die längere 
Zeit arbeitsunfähig sind oder bereits Krankengeld erhal- 
ten. Zu diesem Thema haben mich auch zahlreiche Einga- 
ben erreicht. Danach rufen Krankenkassen Versicherte 
- teilweise wöchentlich - an, machen Hausbesuche oder 
nehmen Kontakt zu Arbeitgebern auf Auch mit so ge- 
nannten „Selbstauskunftsbogen“ erheben Krankenkassen 
beim Versicherten zusätzliche Daten. Die detaillierte Er- 
hebung von Gesundheitsdaten rechtfertigten sie mit der 
Prüfung von Krankengeldansprüchen oder mit der Ab- 
sicht, zur Genesung beizutragen. 

Ein Versicherter hat mir Folgendes berichtet: Die Kran- 
kenkasse habe sich im Rahmen des Fallmanagements 
schriftlich an den Arbeitgeber gewandt und diesen gebe- 
ten, dem Versicherten eine andere Beschäftigung anzu- 
bieten, da dieser aufgrund seiner Erkrankung seine bishe- 
rige Tätigkeit nicht mehr ausüben könne, ln dem 
Schreiben an den Arbeitgeber wurde aus dem Gutachten 
einer Reha-Klinik und aus dem Gutachten des Medizini- 
schen Dienstes der Krankenversicherung (MDK) zitiert. 
Der Versicherte fürchtet nun um seinen Arbeitsplatz. 

Als gesetzliche Grundlage für diese Datenerhebung wur- 
den mir wiederholt die Umsetzung der gesetzlichen An- 
sprüche von Versicherten auf ein Versorgungsmanage- 
ment nach § 1 1 Absatz 4 SGB V und auf Leistungen zur 
Teilhabe nach § 4 SGB IX genannt. Diese Regelungen 
sind aber ohne weitere gesetzliche Detailregelungen aus 
datenschutzrechtlicher Sicht nicht tragfähig, da sie keine 
Befugnisse zur Erhebung und Speicherung von Sozialda- 
ten enthalten. 

Selbstauskunftsbogen 

ln meinem 21. TB (Nr. 13.1.3) habe ich mich dazu bereits 
ausführlich geäußert. Das Erheben und Verarbeiten von So- 
zialdaten durch Krankenkassen mittels „Selbstauskunftsbo- 
gen“ ist weder bei Versicherten noch bei deren Ärzten zu- 
lässig. Zur Erhebung der damit abgefragten Sozialdaten 


ist weitgehend der MDK im Rahmen seiner gesetzlichen 
Aufgabenerfüllung berechtigt. Die Krankenkassen dürf- 
ten allenfalls um die Übermittlung dieser Daten an den 
MDK bitten. 

Meine Rechtsauffassung wird vom Bundesversicherungs- 
amt (BVA) und dem BMG geteilt. Dass einige Kranken- 
kassen ungeachtet dessen an ihrer Verfahrensweise festhal- 
ten, wurde mir unverhohlen damit begründet, in meinem 
Tätigkeitsbericht würden datenschutzrechtliche Verstöße 
ohne Nennung des Namens der betroffenen Krankenkasse 
dargestellt, die Versicherten und die Öffentlichkeit würden 
also nicht erfahren, wie eine bestimmte Kasse mit den So- 
zialdaten ihrer Versicherten umginge. Ich möchte deshalb 
von dieser Praxis abweichen. Negativ aufgefallen sind 
mir in Sachen Selbstauskunftsbogen in letzter Zeit die 
folgenden Kassen: Deutsche BKK, KKH, IKK classic, 
SBK Siemens-Betriebskrankenkasse. 

Positiv möchte ich vermerken, dass sich einige Kassen 
ausdrücklich von diesem Verfahren distanzieren, etwa die 
Audi-BKK (s. u.), BKK Mobil Oil, pronova BKK, BKK 
firmus, SECURVITA BKK. 

Versicherte, die länger arbeitsunfähig sind und an die ggf 
ein Krankengeld auszuzahlen ist, erhalten von einigen 
Krankenkassen ein Anschreiben mit allgemeinen Infor- 
mationen und mit der Bitte um „Mithilfe“. Um Kranken- 
geldansprüche prüfen zu können, sollen beigefügte For- 
mulare ausgefüllt zurückgesandt werden. Es handelt sich 
dabei um „Selbstauskunftsbogen“ sowie um Vordrucke 
für Einwilligungen dazu, der Krankenkasse ausführliche 
medizinische Untersuchungsberichte zur Verfügung zu 
sfellen. Gegenüber den Versicherten wird der Eindruck 
erweckt, dass die Angaben gemacht werden müssen, um 
die gesetzliche Leistung Krankengeld erhalten zu können. 

Datenschutzrechtlich ist diese Vorgehensweise aus meh- 
reren Gründen unzulässig: ln den Fällen des § 275 Ab- 
satz 1 und 2 SGB V, z. B. bei Arbeitsunfähigkeit, sind die 
Krankenkassen verpflichtet, den MDK mit einer Begut- 
achtung bzw. Prüfung zu beauftragen. Es besteht jedoch 
keine Befugnis der Kasse, zusätzliche Daten zur Arbeits- 
situation oder zur Gesundheit zu erheben, die mit der Prü- 
fung der Leistungsvoraussetzungen nicht in Zusammen- 
hang stehen. Ausschließlich der MDK ist gesetzlich 
befugt, weitergehende Daten zu erheben oder zu verarbei- 
ten, sofern dies im konkreten Einzelfall erforderlich ist 
(§ 276 Absatz 2 Satz 1 erster Halbsatz SGB V). Dies ver- 
deutlicht die Regelung des § 277 Absatz 1 Satz 1 SGB V, 
wonach der MDK der jeweiligen Krankenkasse lediglich 
das Ergebnis der Begutachtung mitteilen darf 

Dementsprechend sind vorformulierte Schweigepflicht- 
entbindungserklärungen in Selbstauskunftsbogen, nach 
denen sämtliche ärztliche Unterlagen an die Kranken- 
kasse herausgegeben werden dürfen, mit dem geltenden 
Recht nicht vereinbar. Diese Beschränkung der Kranken- 
kassen verdeutlicht auch die Regelung des § 275 Ab- 
satz la Satz 4 SGB V. Danach können die Krankenkassen 
von einer Beauftragung des MDK nur absehen, wenn sich 
die medizinischen Voraussetzungen der Arbeitsunfähig- 
keit eindeutig aus den der jeweiligen Krankenkasse vor- 
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liegenden ärztlichen Unterlagen, wie z. B. Arbeitsunfä- 
higkeitsbescheinigungen, ergeben. Zu diesen Unterlagen 
gehören keine Behandlungsdaten des Versicherten (Kran- 
kenhausentlassungsberichte, Arztbriefe, Befundberichte, 
ärztliche Gutachten etc.). 

Soweit sich Krankenkassen auf ein Rundschreiben des 
GKV- Spitzen Verbandes vom 31. Mai 2012 berufen, habe 
ich immer wieder darauf hingewiesen, dass derartige 
Rundschreiben eine gesetzliche Grundlage zur Daten- 
erhebung nicht ersetzen und vorhandene Gesetzesbestim- 
mungen nicht außer Kraft setzen können. Zudem lässt das 
zitierte Rundschreiben keine Hinweise auf eine zulässige 
Datenerhebung in der vorgefunden Form erkennen. 
Selbst die aus datenschutzrechtlicher Sicht sehr bedenkli- 
che „Begutachtungsanleitung - Arbeitsunfähigkeit (AU)“ 
des GKV-Spitzenverbandes vom 12. Dezember 2011 
sieht eine Datenerhebung in dem Vorgefundenen Umfang 
nicht vor. 

Meiner Aufforderung, die vorhandenen Selbstauskunfls- 
bogen nicht mehr zu verwenden und bereits ausgefüllte 
zu vernichten, ist z. B. die Audi BKK gefolgt. 

Um das Problem „Selbstauskunftsbogen“ grundsätzlich 
zu lösen, habe ich mit dem BMG und dem GKV-Spitzen- 
verband die Bildung einer Arbeitsgruppe vereinbart, de- 
ren Ziel es ist, bis Ostern 2013 die Selbstauskunflsbogen 
in der jetzigen Form abzuschaffen und datenschutzge- 
recht sicherzustellen, dass die Krankenkassen die für die 
Bearbeitung von Krankengeldfällen erforderlichen Daten 
erhalten. Dabei ist ein modular aufgebautes System ange- 
dacht, in dem zielgerichtet nur die für den Einzelfall er- 
forderlichen und gesefzlich zulässigen Daten erhoben 
werden. 

Telefonische Beratung und Handakten von 
Mitarbeitern im Krankenfallmanagement 

Die Mitarbeiter der Deutschen BKK fuhren mit den Ver- 
sicherten bei Arbeitsunfähigkeit regelmäßig telefonische 
„Beratungsgespräche“, wenn zu erwarten ist, dass Kran- 
kengeld auszuzahlen sein wird, ln den von mir kontrol- 
lierten Geschäftsstellen wurden Handakten über jeden 
arbeitsunfähigen Versicherten geführt, die, neben dem aus- 
gefüllten Selbstauskunflsbogen, mehr oder weniger ausführ- 
liche Gesprächsvermerke mit zum Teil detaillierten Angaben 
zur familiären und gesundheitlichen Situation, Krankenhau- 
sentlassungsberichte, Reha-Entlassungsberichte, hausärztli- 
che Unterlagen, Gutachten des MDK und vieles mehr 
enthalten. Von Petenten wird mir zudem berichtet, in den 
dargestellten Telefonaten würde z. T. ein erheblicher Druck 
durch die „Fallmanager“ der Krankenkassen aufgebaut, in 
dem teilweise mit Leistungskürzungen gedroht wird oder 
zu einem Wechsel der Krankenkasse aufgefordert werde. 
Die Ergebnisse der Beratungsgespräche werden von den 
Fallmanagem - neben handschriftlichen Vermerken in 
Handakten - im EDV-Programm „Krankengeld Fallma- 
nagement“ als individuelle Gesprächsnotizen in Freitext- 
feldem aufgezeichnet. Die Vorgefundenen Programme sa- 
hen eine maschinelle Löschung der gespeicherten Daten 
nicht vor. 


Weder für die telefonische Datenerhebung noch für deren 
Speicherung gibt es eine gesetzliche Grundlage. Die kon- 
trollierten Kassen wurden von mir gebeten, unverzüglich 
jegliche Datenerhebung und -Speicherung durch Telefo- 
nate mit den Versicherten einzustellen sowie vorhandene 
Daten und gespeicherte Vermerke über die Telefonge- 
spräche zu löschen. 

Einschaltung „neutraler Stellen“ 

ln zahlreichen Fällen bieten Mitarbeiter der Deut- 
schen BKK ihren Versicherten - z. B. bei Rückenleiden 
oder psychischen Erkrankungen - den Besuch bei einer 
„neutralen Stelle“ an. Diese „neutrale Stelle“ ist ein exter- 
ner Gutachter, der die Versicherten untersucht und wei- 
tere oder alternative Maßnahmen zur schnellen Beendi- 
gung der Arbeitsunfähigkeit empfiehlt. Wenn Versicherte 
dieser Verfahrensweise während des Telefonates zustim- 
men, übermittelt die Krankenkasse die Daten der Versi- 
cherten (Name, Telefonnummer) an diese „neutrale Stelle“, 
damit diese anschließend Kontakt zu den Versicherten 
aufnimmt. Die Deutsche BKK versteht diese Vorgehens- 
weise als „Serviceleistung“ gegenüber ihren arbeitsunfä- 
hig erkrankten Versicherten. 

Bereits vor Ort haben meine Mitarbeiter der Kranken- 
kasse vorgeschlagen, den Versicherten lediglich die Kon- 
taktdaten der „neutralen Stelle“ (z. B. in einem Flyer zum 
Thema Rückenleiden) zur Verfügung zu sfellen und sie zu 
bitten, selbst mit der „neutralen Stelle“ Kontakt aufzuneh- 
men. Das Gegenargument, es handele sich oft um Versi- 
cherte, die aufgrund ihrer sprachlichen Fähigkeiten zu ei- 
ner eigenständigen Kontaktaufnahme mit der „neutralen 
Stelle“ nicht in der Lage seien, kann ich nicht nachvollzie- 
hen. Es zeugt von mangelndem Respekt vor den Versicher- 
ten. Viele Institutionen - auch gesetzliche Krankenkassen - 
sind zudem aus Servicegründen dazu übergegangen, 
„Flyer“ auch in anderen Sprachen bereitzustellen. 

Die dargestellte Vorgehensweise ist datenschutzrechtlich 
unzulässig und verletzt das Sozialgeheimnis (§35 Ab- 
satz 1 SGB 1). Die Vermittlung von Versicherten im 
Krankengeldbezug an „neutrale Stellen“ gehört nicht zu 
den gesetzlichen Aufgaben einer Krankenkasse. Eine ge- 
setzliche Grundlage für die Übermittlung von Sozialdaten 
an die „neutralen Stellen“ gibt es nicht. 

Ich habe die Deutsche BKK aufgefordert, auf die rechts- 
widrige Einschaltung „neutraler Stellen“ zu verzichten. 
Die dargestellten zahlreichen Verstöße der Deutschen 
BKK gegen die gesetzlichen Vorgaben zum Persönlich- 
keitsschutz der Versicherten habe ich nach § 8 1 Absatz 2 
SGB X i. V. m. § 25 Absatz 1 BDSG wegen Verstoßes 
gegen das Sozialgeheimnisses nach § 35 Absatz 1 SGB 1 
förmlich beanstandet. 

Sensible Versichertendaten in Handakten 
der Sachbearbeiter 

Bei der Kontrolle einer Geschäftsstelle der Siemens BKK 
wurden in Handakten sehr umfangreiche Dokumentatio- 
nen von Telefongesprächen zwischen Sachbearbeitern 
und Versicherten Vorgefundenen. Diese enthielten Anga- 
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ben zu persönlichen Empfindungen der Versicherten, wie 
beispielsweise Suizidgedanken oder ausführliche Be- 
schreibungen der Befindlichkeiten des Versicherten - teil- 
weise mit subjektiven Kommentierungen der Sachbear- 
beiter. Weiter wurden in diesen Handakten Befund- bzw. 
Krankenhausentlassungsberichte von behandelnden Ärz- 
ten im Original festgestellt. Auch fanden sich Unterlagen, 
die ausschließlich für die Begutachtung durch den MDK 
zur Verfügung gesfellt worden waren. Gleiches gilt für 
Stellungnahmen und z. T. vollständige sozialmedizini- 
sche Gutachten des MDK. 

Da die Vorgefundenen Handakten sehr umfangreich wa- 
ren, baten meine Mitarbeiter um eine vollständige Kopie, 
um diese dann inhaltlich und rechtlich prüfen zu können. 
Wie ich bei Sichtung der Handakten feststellen musste, 
waren die kopierten Handakten entgegen der ausdrück- 
lichen Zusage nicht vollständig. Prüfungsrelevante Ori- 
ginalunterlagen waren entnommen worden, eine ord- 
nungsgemäße Prüfung war mir nicht mehr möglich. Die 
Herausgabe der vollständigen Handakten wurde nunmehr 
verweigert. 

Gegenüber der Siemens BKK habe ich dies wegen man- 
gelnder Unterstützung bei der Erfüllung meiner Aufgaben 
nach § 81 Absafz 2 i. V. m. § 25 Absafz 1 BDSG als Ver- 
sfoß gegen § 24 Absatz 4 BDSG beanstandet. 

11.1.9 Die Beteiligung von Gesundheits- 
services bei Mutter-Kind-Kuren 

Einige gesetzliche Krankenkassen kooperieren bei der 
Leistungsgewährung von Mutter-Kind-Kuren mit so ge- 
nannten ,, Gesundheitsservices Viele Mütter sahen hierin 
eine Verletzung datenschutzrechtlicher Grundsätze. 

Im Berichtszeitraum erreichten mich zahlreiche Eingaben 
besorgter Mütter, deren Daten bei der Durchführung von 
Rehabilitationsmaßnahmen nach § 41 Absatz 1 SGB V 
- den so genannten Mutter-Kind-Kuren - an ein privates 
Unternehmen weitergegeben wurden. Diese Unterneh- 
men haben mit einer Vielzahl von kleineren und mittleren 
Krankenkassen Vereinbarungen über Unterstützungsleis- 
tungen bei der Durchführung von Mutter-Kind-Kuren ge- 
schlossen, so zum Beispiel die Bereitstellung erforderlicher 
Kapazitäten in den Kureinrichtungen oder den Buchungs- 
service für die Krankenkasse und die Versicherte. Hier- 
durch wird eine bessere Auslastung der Einrichtungen er- 
reicht, wofür die Krankenkasse Preisnachlässe erhälf. 
Ferner werden die Kassen von Verwaltungsaufgaben ent- 
lastet. Nach der Bewilligung der beantragten Maßnahme 
beauftragt die Kasse das Unternehmen, eine bedarfsge- 
rechte Kureinrichtung zu ermitteln. Hierzu gibt sie Anga- 
ben zu Mutter und Kind, wie Namen und Anschrift, an das 
Unternehmen weiter, aber auch Informationen zum Ge- 
sundheitszustand oder den vorgesehenen therapeutischen 
Maßnahmen. Dieses Vorgehen werte ich als Datenverar- 
beitung im Auftrag nach § 80 SGB X. Die Krankenkasse 
entscheidet selbst über die Bewilligung der Reha-Maß- 
nahme und trägt weiterhin die datenschutzrechtliche 
Verantwortung für die rechtmäßige Verarbeitung der Ver- 
sichertendaten. Das Unternehmen übernimmt hingegen 
lediglich unterstützende Tätigkeiten. Sofern in diesem 


Rahmen Daten der Versicherten dem Serviceuntemehmen 
von der Krankenkasse zur Verfügung gesfellt werden, ist 
dies datenschutzrechtlich nicht zu beanstanden. 

Bedenken habe ich allerdings, ob in jedem Einzelfall die 
Angaben versichertenbezogen weitergegeben werden 
müssen. Eine Krankenkasse ist bereits dazu übergegan- 
gen, eine anonymisierte Abfrage vorzunehmen. Ich werde 
darauf hinwirken, dass die anderen Krankenkassen die- 
sem Beispiel folgen. 

11.1.10 Versorgung mit Heil- und Hilfsmitteln 

Bei der Versorgung der Versicherten mit Heil- und Hilfs- 
mitteln werden die datenschutzrechtlichen Regelungen 
nicht immer eingehalten. 

Versorgung mit Heilmitteln 

Bei der Versorgung von Versicherten mit Heilmitteln hat 
die Krankenkasse nach § 32 SGB V auf Grundlage der ihr 
zulässigerweise vorliegenden Unterlagen über den Leis- 
tungsanspruch zu entscheiden. Eine Befugnis, für diese 
Enfscheidung zusätzliche Sozialdaten beim Versicherten 
oder gar beim Leistungserbringer zu erheben, gibt diese 
Regelung nicht her. Hat die Krankenkasse Zweifel, ob die 
geltend gemachte Leistung tatsächlich von ihr zu erbringen 
ist, hat sie nach § 275 Absatz 1 Nummer 1 SGB V den Me- 
dizinischen Dienst der Krankenversicherung (MDK) ein- 
zuschalten. 

Die Verantwortung für die vollsfändige Verordnung von 
Heilmitteln, wie z. B. Ergotherapie, physikalische Behand- 
lungen usw., und die damit verbundene Übermittlung von 
Gesundheitsdaten an die Krankenkasse trägt allerdings der 
verordnende Arzt, der insoweit zur Offenlegung der erfor- 
derlichen Daten befügt ist. Dieser hat nach den Vorgaben in 
der vom Gemeinsamen Bundesausschuss (G-BA) be- 
schlossenen „Richtlinie über die Verordnung von Heil- 
mitteln in der vertragsärztlichen Versorgung - Heilmittel- 
Richtlinie“ die erforderlichen Daten zu übermitteln, da- 
mit die Krankenkasse prüfen kann, ob die beantragten 
Leistungen notwendig, zweckmäßig und wirtschaftlich 
sind. Bei unvollständigen Verordnungen ist eine Nach- 
frage der Krankenkasse beim verordnenden Arzf zulässig. 
Eine Datenerhebung beim Versicherten oder beim Leis- 
tungserbringer ist im Fünften Buch Sozialgesetzbuch we- 
der vorgesehen noch erforderlich. 

Soweit einige Krankenkassen als Grundlage für die zu- 
sätzliche Datenerhebung das Gebot der Wirtschaftlichkeit 
anführen, isf darauf hinzuweisen, dass die Wirtschafllich- 
keitsprüfung von der gemeinsamen Prüfsfelle nach § 106 
Absafz 4 SGB V durchgeführt wird. Auch hier gibt es 
keinen Grund für eine eigene zusätzliche Datenerhebung. 

Versorgung mit Hilfsmitteln 

Mit dem Gesetz zur Weiterentwicklung der Organisations- 
strukturen in der gesetzlichen Krankenversicherung (GKV- 
OrgWG) vom 15. Dezember 2008 (BGBl. 1 S. 2426) 
wurde die Hilfsmittelversorgung in der gesetzlichen 
Krankenversicherung neu geregelt. Seit dieser Zeit dürfen 
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Hilfsmittel nur noch auf der Grundlage von Verträgen 
nach § 127 SGB V an Versicherte abgegeben werden. Da- 
mit können die Versicherten nur noch Leistungserbringer 
in Anspruch nehmen, die auch Vertragspartner ihrer 
Krankenkasse sind. Ein Auswahlrecht unter allen zuge- 
lassenen Leistungserbringern (vgl. 21. TB Nr. 13.1.5) be- 
steht seitdem nicht mehr, ln zahlreichen Eingaben bekla- 
gen sich betroffene Versicherte darüber, ihre Sozialdaten 
würden von den Krankenkassen an ihre Vertragspartner 
weitergegeben. Dies ist aus datenschutzrechtlicher Sicht 
zu beanstanden, weil die Krankenkassen lediglich gesetz- 
lich verpflichtet sind, ihre Versicherten über die zur Ver- 
sorgung berechtigten Vertragspartner zu informieren 
(§ 127 Absatz 5 SGB V). Der Versicherte hat im Versor- 
gungsfall selbst den Kontakt zum Leistungserbringer zu 
suchen und seine Verordnung sowie die zur Versorgung 
erforderlichen Daten an den Vertragspartner der Kranken- 
kasse zu übermitteln. 

Weiterhin datenschutzrechtlich problematisch ist der Ein- 
satz von so genannten externen Hilfsmitteiberatem im 
Rahmen der Hilfsmittelversorgung von Versicherten. An 
meiner bereits in meinem 21. TB (Nr. 13.1.5) dazu darge- 
legten Rechtsauffassung halte ich fest. Nach § 275 Ab- 
satz 3 Nummer 1 SGB V können die Krankenkassen in 
geeigneten Fällen durch den MDK vor Bewilligung prü- 
fen lassen, ob das verordnete Hilfsmittel erforderlich ist. 
Der MDK hat hierbei den Versicherten zu beraten und 
kann dabei mit privaten Dritten - beispielsweise mit or- 
thopädischen Beratungsstellen - Zusammenarbeiten. Eine 
Berechtigung der gesetzlichen Krankenkassen, weitere 
Daten beim Versicherten zu erheben oder statt dem MDK 
einen Dritten, wie z. B. einen externen Hilfsmittelberater, 
zur Begutachtung einzuschalten, sieht das SGB V nicht 
vor. Wenn die gesetzliche Krankenkasse der Auffassung 
ist, ihr lägen nicht alle erforderlichen Daten vor, „kann“ 
und hat sie für die weitere Datenerhebung den MDK ein- 
zuschalten. Vor diesem Hintergmnd ist zu beachten, dass 
die Krankenkasse in § 275 Absatz 3 Nummer 1 SGB V 
von einer Beauftragung des MDK absehen kann, wenn 
sich die medizinischen Voraussetzungen für die Hilfsmit- 
telversorgung aus der Aktenlage der bei der Kranken- 
kasse ohnehin vorliegenden Unterlagen ergeben und 
eigene Fachkräfte die Vorbereitung der Leistungsent- 
scheidung übernehmen. 

Die Einschaltung eines anderen Hilfsmittelberaters ist 
auch nicht nach den Regelungen über die Datenverarbei- 
tung im Auftrag nach § 80 SGB X möglich. Die Hilfsmit- 
telberater wurden in den mir bekannten Fällen von der 
Krankenkasse mit Informationen versorgt und/oder holen 
weitere Informationen unmittelbar beim Versicherten ein. 
Auf der Grundlage dieser Daten erarbeitet ein Hilfsmittel- 
berater in gleicher Weise wie der MDK einen Entschei- 
dungsvorschlag für die Krankenkasse. Diese Tätigkeit er- 
füllt die Voraussetzung einer Funktionsübertragung, was 
auch die staatlichen Aufsichtsbehörden des Bundes und 
der Länder der gesetzlichen Krankenkassen in einem ge- 
meinsam erstellten Arbeitspapier so erläutert haben. 


Ohne entsprechende gesetzliche Rahmenbedingungen ist 
die Beauftragung von „externen Hilfsmitteiberatem“ eine 
Umgehung der nach den §§ 275 ff. SGB V gesetzlich 
dem MDK zugewiesenen Aufgaben. In Einzelfällen kann 
es notwendig sein, externe Gutachter heranzuziehen, wie 
es das o. g. Arbeitspapier vorsieht. Dies hat allerdings 
gmndsätzlich durch den MDK zu geschehen (§ 279 Ab- 
satz 5 Satz 1 2. Halbsatz SGB V). 

11.2 Rentenversicherung - Versicherungs- 
nummern der Deutschen Renten- 
versicherung per Knopfdruck - 
das Webportai eSoiution der DRV 

Im Rahmen der Initiative „eGovernment 2.0“ der Bun- 
desregierung hat die Deutsche Rentenversicherung Bund 
das so genannte eSoIution-Portal eröffnet. Das Portal er- 
möglicht es, Leistungsträgem der Sozialversichemng die 
für ihre Aufgabenerfüllung notwendigen Daten bei der 
Datenstelle der Deutschen Rentenversicherung Bund zen- 
tral über das Internet abzurufen. 

Die DRV Bund hat mich nach § 79 Absatz 3 SGB X über 
ihre Absicht unterrichtet, dieses automatische Abrufver- 
fahren einzuführen. Auch wurde ich in den Prozess der 
Weiterentwicklung des Verfahrens einschließlich eines 
Probebetriebs bei einer gesetzlichen Krankenkasse einge- 
bunden. Mit diesem Verfahren sollen aufwendige und zeit- 
intensive Abfragen, die typischerweise zu erheblichen 
Bearbeitungszeiten führen, verkürzt sowie Verwaltungs- 
und Portokosten gesenkt werden. Gesetzlich ist die Über- 
mittlung von Sozialdaten zwischen Sozialleistungsträgem 
nach § 79 Absatz 1 SGB X zulässig, soweit sie unter Be- 
rücksichtigung der schutzwürdigen Interessen der Betrof- 
fenen wegen der Vielzahl der Übermittlungen oder wegen 
ihrer besonderen Eilbedürftigkeit angemessen ist. Inner- 
halb des Portals stehen den Nutzem verschiedene Online- 
dienste zur Verfügung. Bei der weit überwiegenden Zahl 
der Aufmfe handelt es sich um die Ermittlung von Versi- 
chemngsnummem. Für eine solche Suchanfrage ist die 
Kenntnis von Vorname, Nachname, Geburtsdatum und 
Geschlecht des Versicherten zwingend erforderlich. Da- 
neben kann der jeweilige Konto Führer zu einer bestimm- 
ten Versichemngsnummer abgefragt werden. Sind zuvor 
mehrere Versichemngsnummem an denselben Versicher- 
ten vergeben worden, kann die jeweils aktive ermittelt 
werden. 

Zum Abraf von Sozialdaten via „eSolution“ sind derzeit 
die gesetzlichen Krankenkassen, die Bemfsgenossen- 
schaften sowie die Bundesagentur für Arbeit berechtigt. 
Ende November 2012 waren von 146 Krankenkassen und 
neun Bemfsgenossenschaften insgesamt 101 Kranken- 
kassen für die Benutzung des „eSolution-Portals“ regis- 
triert, acht weitere haben bereits ihr Interesse bekundet. 
Zudem sieht Artikel 12 Nummer 1 des am 19. Dezember 
2012 vom Bundeskabinett beschlossenen Entwurfs eines 
Gesetzes zur Neuorganisation der bundesunmittelbaren 
Unfallkassen, zur Ändemng des Sozialgerichtsgesetzes 
und zur Ändemng anderer Gesetze, eine Erweitemng des 
Kreises der nach § 148 Absatz 3 Satz 1 SGB VI abmfbe- 
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rechtigten Stellen um die zugelassenen kommunalen Trä- 
ger nach § 6a SGB 11 vor. 

ln technischer Hinsicht ist der Zugang nicht nur von der 
Eingabe einer autorisierten Nutzemame/Passwort-Kombi- 
nation abhängig, zugleich werden clientseitige SSL-Zertifi- 
kate zur Authentisierung verwendet. Meine Forderung 
nach einer verbesserten Protokollierung der Anfragen 
wurde umgesetzt. Hierdurch sind das Datum, die Uhrzeit, 
der jeweilige Nutzer und seine Transaktion ohne Schwie- 
rigkeiten nachvollziehbar. Ebenso ist die DRV Bund 
meinem Wunsch nach Dokumentierung der Zertifikats- 
vergabe an abfragende Sozialleistungsträger nachgekom- 
men. Nach meiner datenschutzrechtlichen Bewertung hat 
das Bundesministerium für Arbeit und Soziales im No- 
vember 2010 den Dauerbetrieb genehmigt. 

Ich habe die Zusage, bei zukünftigen Änderungen und 
Fortentwicklungen - insbesondere im Hinblick auf spä- 
tere zusätzliche Dienste des Portals - weiterhin beteiligt 
zu werden. 

11.3 Pflegeversicherung - Neue Wege im 
Pflege-Neuausrichtungs-Gesetz 

Das Pflege-Neuausrichtungs-Gesetz enthält deutliche 
Verbesserungen bei den Leistungen für Demenzerkrankte 
und den Rechten Angehöriger. Erstmals wird der Kreis 
der Gutachter für die Feststellung der Pflegebedürftigkeit 
über den Medizinischen Dienst der Krankenversicherung 
hinaus auf andere unabhängige Gutachter erweitert. Das 
Gesetz normiert Wahlrechte der Betroffenen und nimmt 
wichtige datenschutzrechtlich relevante Änderungen vor. 

Das Gesetz zur Neuausrichtung der Pflegeversicherung 
(Pflege-Neuausrichtungs-Gesetz (PNG) vom 23. Okto- 
ber 2012, BGBl. 1 S. 2246) ist in seinen wesentlichen 
Teilen am 30. Oktober 2012 in Kraft getreten. Mit dem 
Gesetz werden auch verschiedene datenschutzrechtlich 
relevante Änderungen in die gesetzliche Pflegeversiche- 
rung eingeführt. So werden etwa bei der Beurteilung der 
Pflegequalität die Pflegedokumentationen, die Inaugen- 
scheinnahme der Pflegebedürftigen und Befragungen der 
Beschäftigten der Pflegeeinrichtungen sowie der Pflege- 
bedürftigen, ihrer Angehörigen und der vertretungsbe- 
rechtigten Personen berücksichtigt. Wenn diese Ergeb- 
nisse für die Erstellung eines Prüfberichts herangezogen 
werden sollen, ist die Einwilligung der betroffenen Pfle- 
gebedürftigen erforderlich. 

Um die Leistungen der gesetzlichen Pfiegeversicherung 
zu beschleunigen, muss nicht mehr ausschließlich der 
Medizinische Dienst der Krankenversicherung (MDK) 
mit der Beauftragung eines Gutachtens zur Feststellung 
der Pflegebedürftigkeit beauftragt werden. Erstmalig ist 
auch die Vergabe von Gutachten an einen von der Pflege- 
kasse beauftragten Gutachter außerhalb des MDK mög- 
lich. Auf meine Initiative hin sind dabei einem Versicher- 
ten, der einen Antrag auf Anerkennung einer Pflegestufe 
stellt, mindestens drei unabhängige Gutachter zur Aus- 
wahl zu benennen. Hat sich der Antragsteller für einen 
benannten Gutachter entschieden, ist seinem Wunsch 
Rechnung zu tragen. Positiv bewerte ich zudem, dass ein 


Antragsteller grundsätzlich das Recht darauf hat, das er- 
stattete Gutachten ausgehändigt zu bekommen. Für die 
Beauftragung von anderen unabhängigen Gutachtern 
durch die Pfiegekassen im Verfahren zur Feststellung der 
Pfiegebedürfligkeit soll der Spitzenverband Bund der 
Pfiegekasse bis zum 31. März 2013 Richtlinien für die 
Zusammenarbeit erlassen, die für die Pflegekassen ver- 
bindlich sind. Im Rahmen des Genehmigungsverfahrens 
durch das BMG soll auch ich beteiligt werden und erneut 
auf die Einhaltung datenschutzrechtlicher Grundsätze und 
auf datenschutzfreundliche Lösungen hinwirken. 

11.4 Unfallversicherung 

11.4.1 Erfahrungen bei Gutachten in der Unfall- 
versicherung - eine „never ending 
Story“ 

Die Probleme bei der Umsetzung der Gutachterregelung 
in der gesetzlichen Unfallversicherung sind immer noch 
nicht gelöst. Die beabsichtigte Transparenz der Verfahren 
und Stärkung der Mitwirkungsrechte der Versicherten 
wurden nicht erreicht. 

Schwerpunkt der Kontrollen bei der Berufsgenossen- 
schaft der Bauwirtschaft (BG Bau) und der Berufsgenos- 
senschaft Handel und Warendistribution (BGHW) war 
die Handhabung der seit ihrem Inkrafttreten zum 1 . Juli 
1997 umstrittenen Gutachterregelung des § 200 Absatz 2 
SGB Vll. Die Kontrollen haben - wie auch eine Vielzahl 
von Eingaben zu dieser Thematik - gezeigt, dass weiter- 
hin dringender Handlungsbedarf zur Klarstellung dieser 
Regelung besteht. Bereits in meinem 22. Tätigkeitsbe- 
richt hatte ich über die schwerwiegenden Probleme bei 
der Abgrenzung eines Gutachtenauftrags nach § 200 Ab- 
satz 2 SGB Vll und der Einholung einer bloßen bera- 
tungsärztlichen Stellungnahme berichtet, die auch durch 
die grundsätzlichen Urteile des Bundessozialgerichts vom 
5. Februar 2008 - B 2 U 8/07 R und B 2 U 10/07 R - 
nicht gelöst wurden (vgl. 22. TB Nr. 10.3.1). Mit der 
Deklarierung als „beratungsärztliche Stellungnahme“ 
verkürzen die Berufsgenossenschaften die Rechte der 
Versicherten, denen bei einer Beauftragung eines Sach- 
verständigen mit der Erstellung eines Gutachtens nach 
§ 200 Absatz 2 SGB Vll ein Auswahlrecht hinsichtlich 
des Gutachters sowie das Widerspruchsrecht nach § 76 
Absatz 2 SGB Vll zugestanden hätte. 

ln dem von der BGHW entwickelten „Leitfaden für die 
Sachbearbeitung zur Gutachterauswahl nach § 200 Ab- 
satz 2 SGB Vll“ wird die Entscheidung, ob ein Gutach- 
tenauftrag erteilt oder eine Stellungnahme eines beraten- 
den Arztes eingeholt wird, praktisch in das Belieben des 
Unfallversicherungsträgers gestellt. Nach dem „Leitfa- 
den“ wird unter Bezugnahme auf die Rechtsprechung des 
Bundessozialgerichts neben den inhaltlichen Abgren- 
zungskriterien großes Gewicht auf formale Kriterien ge- 
legt. Anhaltspunkte für ein Gutachten sind danach, ob 
dieses bei der Anforderung als solches bezeichnet oder 
als solches erstellt oder abgerechnet wird. Diese Kriterien 
sind völlig ungeeignet. Die Begriffe „Gutachten“ und 
„beratungsärztliche Stellungnahme“ sind fast synonym 
gebräuchlich und beliebig austauschbar. 
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Aus der Feststellung des Bundessozialgerichts, der Gut- 
achtenbegriff sei eng auszulegen, zieht die BGHW - wie 
auch andere Berufsgenossenschaften - den Schluss, dass 
immer dann eine beratungsärztliche Stellungnahme vor- 
liegt, wenn eine Auseinandersetzung mit einem Gerichts- 
gutachten, Gutachten, bzw. zu einer in der Akte 
vorliegenden anderweitigen Beurteilung bezüglich der 
Schlüssigkeit, der Überzeugungskraft und der Beurtei- 
lungsgrundlage eingeholt werden soll. Auch Äußerungen 
zum Ursachenzusammenhang und die Erarbeitung pro- 
zessual verwertbarer Einwendungen können danach zu 
beratungsärztlichen Stellungnahmen zählen. Allein die 
Formulierung des Auftrags durch den Sachbearbeiter der 
Berufsgenossenschaft an den beratenden Arzt soll da- 
rüber entscheiden, ob der Versicherte die in § 200 Ab- 
satz 2 SGB Vll genannten Rechte erhält und von seinem 
Mitwirkungsrecht Gebrauch machen kann. Dies ist nicht 
im Sinne des gesetzlich vorgesehenen Gutachterwahl- 
rechts für den Betroffenen. 

Sofern die Berufsgenossenschaft nach Prüfung dieser dif- 
fusen Kriterien zu dem Ergebnis gelangt, dass ein Gut- 
achten von einem von der Berufsgenossenschaft be- 
stimmten Sachverständigen nicht einzuholen sei, sondern 
ein Gutachten von einem beratenden Arzt ausreichend 
sei, wird die Anwendung von § 200 Absatz 2 SGB Vll 
vor Erteilung des Gutachtenauftrags verneint. Da der be- 
ratende Arzt aufgrund der vertraglichen Bindungen wie 
ein Mitarbeiter des Unfallversicherungsträgers zu be- 
trachten sei, finde keine Datenübermittlung an einen Drit- 
ten statt. Diese Handlungsanweisung findet sich nicht nur 
in den internen Dienstanweisungen aller Berufsgenossen- 
schaflen, sondern auch in der Muster-Dienstanweisung der 
Deutschen Gesetzlichen Unfallversicherung (DGUV), ob- 
wohl in den zitierten Urteilen des Bundessozialgerichts 
gar nicht über diesen Fall entschieden wurde. 

Bereits in meinem 22. TB (Nr. 10.3.1) hatte ich eine ge- 
setzliche Klarstellung des § 200 Absatz 2 SGB Vll gefor- 
dert - leider bisher ohne Erfolg. Im Interesse der Versi- 
cherten ist diese mehr als überfällig. Die Klarstellung des 
gesetzgeberischen Willens gehört so schnell wie möglich 
auf die Agenda des Gesetzgebers. Zusätzlich zu der im 
22. TB vorgeschlagenen Formulierung sollte im Geset- 
zestext klargestellt werden, dass es sich stets um ein Gut- 
achten handelt, sobald der Sachverständige eine eigen- 
ständige Bewertung abgibt. 

11.4.2 Kontrolle der Unfallkasse des Bundes 

Themenbezogene Kontrollen können auch datenschutz- 
rechtliche Probleme in anderen Bereichen zu Tage för- 
dern. 

Bei einem Beratungs- und Kontrollbesuch der Unfall- 
kasse des Bundes (UK-Bund), der sich eigentlich auf den 
Bereich Personalwesen konzentrierte (vgl. Nr. 13.4), bin 
ich auch auf große Mängel beim Umgang mit Sozialdaten 
der Versicherten gestoßen. So war von den Arbeitsplätzen 
im Sachgebiet „Personal, Organisation“ generell ein auto- 
matisierter Zugriff auf Sozialdaten der Versicherten mög- 
lich. Dieser Zugang zu geschützten Sozialdaten ist für die 
Aufgabenerfüllung dieses Sachgebietes nicht erforderlich 


und verstößt gegen das in § 35 SGB 1 normierte Sozialge- 
heimnis. Nach § 35 Absatz 1 Satz 2 SGB 1 umfasst des- 
sen Wahrung auch die Verpflichtung, innerhalb des Leis- 
tungsträgers die Sozialdaten nur Befugten zugänglich zu 
machen oder nur an diese weiterzugeben. Dies war nicht 
gewährleistet. 

Während des Besuches fand ich zudem das Eingangspor- 
tal zum Dienstgebäude offen vor, die Pförtnerloge war 
unbesetzt, sodass keine Einlasskontrolle erfolgte. Hier- 
durch war mir ohne jegliche Kontrolle ein Zugang zu um- 
fangreichen Versichertenakten der UK-Bund und den da- 
rin gespeicherten Sozialdaten möglich. Diese waren im 
Erdgeschoss in einem für jedermann erkennbar offenen 
Aktenlager abgelegt. Dessen Tür wurde dauerhaft offen 
gehalten, damit die Beschäftigten das dort befindliche 
Kopiergerät unproblematisch nutzen konnten. Jedermann 
hätte die Versichertenakten mitnehmen oder kopieren 
können. Ein derartiger „Datenklau“ wäre im Nachhinein 
für die UK-Bund nicht mehr nachvollziehbar gewesen. 
Dieser Umgang mit Sozialdaten der Versicherten stellt 
ebenfalls einen Verstoß gegen das Sozialgeheimnis dar. 

Die festgestellten erheblichen Mängel im Umgang mit 
Sozialdaten der Versicherten habe ich nach § 8 1 Absatz 2 
SGB X i. V. m. § 25 Absatz 1 BDSG gegenüber dem Vor- 
stand der UK-Bund als einen Verstoß gegen § 35 Ab- 
satz 1 SGB 1 (Sozialgeheimnis) beanstandet. 

Ich begrüße, dass die UK-Bund die von mir bereits wäh- 
rend des Besuches empfohlenen Maßnahmen zur Wah- 
rung des Sozialgeheimnisses inzwischen umgesetzt hat. 
Meine stichprobenartige Nachkontrolle zum Zugriff auf 
Versichertendaten (Sozialdaten) ergab keine negativen 
Feststellungen. 

11.5 Gesundheitswesen 

11 .5.1 Gesetz zur Verbesserung der Rechte von 
Patientinnen und Patienten 

Mit dem am 29. November 2012 vom Deutschen Bundestag 
beschlossenen Patientenrechtegesetz sollen die Rechte der 
Patientinnen und Patienten gestärkt werden. Wie weit 
reicht die Verbesserung aus datenschutzrechtlicher Sicht? 

Das „Gesetz zur Verbesserung der Rechte von Patientin- 
nen und Patienten“ (Bundestagsdrucksache 17/10488) 
soll die Verfahrensrechte der Patientinnen und Patienten 
im Zusammenhang mit Behandlungsfehlem verbessern. 
Darüber hinaus werden die Rechte der Versicherten ge- 
genüber den gesetzlichen Krankenkassen gestärkt. Das 
Gesetz sieht insbesondere vor, dass 

- Patientinnen und Patienten verständlich und umfassend 
informiert werden müssen, etwa über erforderliche Un- 
tersuchungen, Diagnosen, beabsichtigte Therapien, die 
mit der Behandlung verbundenen Kostenfolgen sowie 
unter bestimmten Voraussetzungen über einen Be- 
handlungsfehler. 

- grundsätzlich alle Patientinnen und Patienten umfas- 
send über eine bevorstehende konkrete Behandlungs- 
maßnahme und über die sich daraus ergebenden Risi- 
ken aufgeklärt werden müssen. 
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- Patientenakten vollständig und sorgfältig zu fuhren 
sind. Behandelnde sind künftig aueh verpfliehtet, zum 
Sehutz von elektronisehen Dokumenten eine manipu- 
lationssiehere Software einzusetzen. Fehlt die Doku- 
mentation oder ist sie unvollständig, wird im Prozess 
zu Lasten des Behandelnden vermutet, dass die nicht 
dokumentierte Maßnahme auch nicht erfolgt ist. 

- Patientinnen und Patienten ein gesetzliches Recht zur 
Einsichtnahme in ihre Patientenakte eingeräumt wird, 
das nur unter strengen Voraussetzungen und nicht 
ohne Begründung abgelehnt werden darf 

- die Kranken- und Pflegekassen künftig verpflichtet 
sind, ihre Versicherten bei der Durchsetzung von 
Schadensersatzansprüchen aus Behandlungsfehlem zu 
unterstützen. 


- Sanktionen greifen, wenn Verfahrensvorschriften ver- 
letzt werden, wie beispielsweise einer nicht fristgemä- 
ßen Entscheidung bei Leistungen der gesetzlichen 
Krankenversichemng. 

- Patientenorganisationen insbesondere bei der Bedarfs- 
planung stärker einbezogen und ihre Rechte im Ge- 
meinsamen Bundesausschuss gestärkt werden. 

Das Patientenrechtegesetz ist ein Schritt in die richtige 
Richtung, um die Rechte von Patientinnen und Patienten 
zu stärken. Auch die Konferenz der Datenschutzbeauftrag- 
ten des Bundes und der Länder hat mit ihrer Entschließung 
vom 23. Mai 2012 dieses Anliegen der Bundesregierung 
nachdrücklich begrüßt (vgl. Kasten zu Nr. 11.5.1). Aller- 
dings hat die Datenschutzkonferenz auch auf die aus da- 
tenschutzrechtlicher Sicht unbefriedigenden Regelungen 
hingewiesen. 


Kasten zu Nr. 11.5.1 


„Patientenrechte müssen nmfassend gestärkt werden“ 

Datenschutzkonferenz fordert die Bundesregiemng zur Überarbeitung des vorgelegten Gesetzentwurfs auf! 

Mit dem im Januar 2012 der Öffentlichkeit vorgestellten und nun dem Bundeskabinett zugeleiteten Entwurf eines 
Gesetzes zur Verbessemng der Rechte von Patientinnen und Patienten (Patientenrechtegesetz) sollen insbesondere 
die bislang von den Gerichten entwickelten Gmndsätze des Arzthaftungs- und Behandlungsrechts zusammengeführt 
und transparent für alle an einer Behandlung Befeiligten geregelt werden Die Konferenz der Datenschutzbeauftragten 
des Bundes und der Länder teilt das Anliegen der Bundesregierang, die Rechte von Patientinnen und Patienten zu 
stärken. Die Datenschutzkonferenz hält allerdings die vorgelegten Regelungen in dem Entwurf eines Patientenrechte- 
gesetzes für nicht ausreichend. Sie fordert die Bundesregierung nachdrücklich auf, den Gesetzentwurf zu überarbei- 
ten und dabei die folgenden Aspekte zu berücksichtigen: 

- Die vertraglichen Offenbarangsobliegenheiten der Patientinnen und Patienten gegenüber den Behandelnden dür- 
fen nicht ausgeweitet werden. Die Patientinnen und Patienten dürfen nicht zur Offenlegung von Angaben über 
ihre körperliche Verfassung verpflichtet werden, die keinen Behandlungsbezug haben. 

- Die Patientinnen und Patienten müssen in jedem Fall und nicht erst auf Nachfrage über erlittene Behandlungsfeh- 
ler informiert werden. 

- Der Gesetzentwurf sollte im Zusammenhang mit der Behandlungsdokumentation um verlässliche Vorgaben zur 
Absicherung des Auskunftsrechts der Patientinnen und Patienten sowie zur Archivierung und Löschung ergänzt 
werden. 

- Der Zugang der Patientinnen und Patienten zu der sie betreffenden Behandlungsdokumentation darf nur in beson- 
deren Ausnahmefällen eingeschränkt werden. Die in dem Entwurf vorgesehenen Beschränkungen sind zu weitge- 
hend und unpräzise. Zudem sollte klargestellt werden, dass auch berechtigte eigene Interessen der Angehörigen 
einen Auskunftsansprach begründen können. 

- Der Gesetzentwurf ist um Regelungen zur Einbeziehung Dritter im Rahmen eines Behandlungsvertrages (Auf- 
tragsdatenverarbeitung) zu ergänzen. 

- Regelungsbedürftig ist ferner der Umgang mit der Behandlungsdokumentation beispielsweise im Falle eines vo- 
rübergehenden Ausfalls, des Todes oder der Insolvenz des Behandelnden. Im Bereich der Heilberafe fehlt es - an- 
ders als z. B. bei den Rechtsanwälten - an einem bundesweit einheitlichen Rechtsrahmen. 
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11.5.2 Das kurze Leben der Ambulanten 
Kodierrichtlinien (AKR) 

Zu Beginn des Berichtszeitraums herrschte unter den nie- 
dergelassenen Ärzten große Aufregung über die Einfüh- 
rung der Ambulanten Kodierrichtlinien (AKR) zum 1. Ja- 
nuar 2011. 

Bereits seit dem Jahr 2000 waren Ärzte und Psychothera- 
peuten verpflichtet, bei der Abrechnung ihrer Leistungen 
gegenüber den Kostenträgern (gesetzliche Krankenkassen 
oder private Krankenversicherung) die Behandlungsdiag- 
nosen nach ICD-IO-GM (Statistical Classification of 
Diseases and Related Health Problems, Release 10, Ger- 
man modification) zu kodieren. Bei der Anwendung der 
ICD-IO-GM bestehen aber teilweise Unklarheiten bezie- 
hungsweise Interpretationsspielräume, die mit den AKR 
behoben werden sollten. Denn der Gesetzgeber hat im 
GKV- Wettbewerbsstärkungsgesetz von 2007 die Vergü- 
tung im Gesundheitswesen stärker an die Krarrkheitshäu- 
figkeiten (Morbidität) gebunden. Genaue Daten hierzu 
lassen sich aber nur aus den kodierten Diagnosen entneh- 
men. 

Aus diesem Grund hatte der Gesetzgeber die Vertrags- 
partner des Bundesmantelvertrages (Kassenärztliche 
Bundesvereinigung und Spitzenverband der gesetzlichen 
Krankenkassen) nach dem früheren § 295 Absatz 3 Satz 2 
SGB V verpflichtet, „Richtlinien für die Vergabe und 
Dokumentation der Schlüssel ... für die Abrechnung und 
Vergütung der vertragsärztlichen Leistungen (Kodier- 
richtlinien)“ zu vereinbaren. Durch einen fünfstelligen 
Code wurde darin verbindlich festgelegt, was alles zu ei- 
ner Behandlungsdiagnose gehört und welche Leistungen 
der Arzt bzw. Psychotherapeut im abzurechnenden Quar- 
tal zu Lasten der gesetzlichen Krankenkassen erbringt. 
Die Reglungen waren deutlich spezifischer als die bereits 
seit dem Jahr 2001 angewandten „Deutschen Kodierricht- 
linien“, die für die Abrechnung von stationären Leistun- 
gen von den beteiligten Verbänden verwendet und regel- 
mäßig überarbeitet werden. 

Obwohl die Kassenärztliche Bundesvereinigung an der 
Erstellung der AKR beteiligt war, wurden diese auf 
Druck einiger Kassenärztlichen Vereinigungen im Früh- 
jahr 2011 wieder zurückgezogen. Gleichzeitig wurde 
durch das GKV- Versorgungsstrukturgesetz (vgl. hierzu 
Nr. 11.1.3) die gesetzliche Grundlage für die AKR gestri- 
chen. 

Ich habe diese Entwicklung begrüßt, da insbesondere im 
psychotherapeutischen Bereich die Vorgaben der Ambu- 
lanten Kodierrichtlinien viel zu detailliert waren. Auch 
im Übrigen sind Angaben in dem vorgesehenen Detaillie- 
rungsgrad bei den Krankenkassen für Abrechnungszwe- 
cke nicht erforderlich. Hierzu reicht eine Kodierung nach 
der bisher üblichen internationalen Klassifikation ICD- 10 
völlig aus. 

Da die Vertragspartner des Bundesmantelvertrages in ei- 
ner gemeinsamen Erklärung festgestellt haben, ohne die 
AKR könne eine fiächendeckende Qualitätssicherung der 
Diagnosen weder für das Jahr 2011 noch in den Folgejah- 
ren nicht erreicht werden, gehe ich allerdings davon aus. 


dass dieses Thema mich in den nächsten Jahren noch ein- 
mal beschäftigen wird. 

11.5.3 Das Krebsfrüherkennungs- und 
-registergesetz 

Krebsfrüherkennungsuntersuchungen sollen künftig als 
organisierte Früherkennungsprogramme durchgeführt 
sowie flächendeckend klinische Krebsregister eingeführt 
werden. 

Gemeinsam mit der Deutschen Krebsgesellschaft e. V., 
der Deutscher Krebshilfe e. V. und der Arbeitsgemein- 
schaft Deutscher Tumorzentren hatte das BMG am 
16. Juni 2008 den Nationalen Krebsplan initiiert. Ziel der 
Initiative ist die Verbesserung der Krebsbekämpfung 
durch ein effektives, zielgerichtetes und aufeinander ab- 
gestimmtes Handeln aller Verantwortlichen im Rahmen 
eines langfristig ausgerichteten Koordinierungs- und Ko- 
operationsprogramms. 

Ein Schwerpunkt der Maßnahmen des Nationalen Krebs- 
plans liegt in der Weiterentwicklung der Früherkennung 
von Brust-, Gebärmutterhals- und Darmkrebs durch den 
Gemeinsamen Bundesausschuss (G-BA). Die Bundesre- 
gierung hat hierzu einen „Entwurf eines Gesetzes zur 
Weiterentwicklung der Krebsfrüherkennung und zur Qua- 
litätssicherung durch klinische Krebsregister (Krebsfrüh- 
erkennungs- und -registergesetz - KFRG)“ (Bundestags- 
drucksache 17/11267) vorgelegt. 

Danach sollen organisierte Früherkermungsprogramme die 
Bevölkerung regelmäßig über Vorsorgeuntersuchungen 
(Screenings) informieren und zur Teilnahme einladen. Da- 
rüber hinaus sollen die Früherkennungsprogramme An- 
haltspunkte zur Festlegung von Qualitätsstandards für das 
Screening liefern. Dies setzt einen Abgleich der erhobe- 
nen Gesundheitsdaten voraus. Eine datenschutzgerechte 
Nutzung ist möglich, wenn bei der Weitergabe von Daten 
zu Forschungszwecken und zur Qualitätskontrolle sowohl 
die vorgesehene Pseudonymisierung der Daten als auch 
die Widerspruchslösung für den Betroffenen - wie im Ge- 
setzesentwurf vorgesehen - eingehalten werden. 

Bei den Beratungen zum Gesetzentwurf konnte ich errei- 
chen, dass Datenschutzbelange im Wesentlichen berück- 
sichtigt wurden. So darf die Krankenversichertennummer 
nur in pseudonymisierter Form genutzt werden. Die Re- 
gelung wichtiger datenschutzrechtliche Fragen sind auf 
den G-BA übertragen worden, der von mir beraten wird 
(vgl. Nr. 11.1.4). 

Ein zweiter Schwerpunkt des Nationalen Krebsplans ist 
die Weiterentwicklung der onkologischen Versorgungs- 
strukturen und deren Qualität. Priorität bei den beschlos- 
senen Maßnahmen hat der flächendeckende Ausbau von 
klinischen Krebsregistem. Der KFRG-Entwurf sieht 
demgemäß deren fiächendeckende Einführung vor. Im 
Gegensatz zu den epidemiologischen Krebsregistem, die 
lediglich Angaben zu Art und Häufigkeit der Tumor- 
erkrankung in einer bestimmten Region wiedergeben, 
erfassen klinische Krebsregister den gesamten Erkran- 
kungsverlauf von der Diagnose über die einzelnen Thera- 
pieschritte bis zum Ende der Nachsorge oder den Tod. 
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Durch das KFRG soll die flächendeckende klinische 
Krebsregistrierung eingeführt und eine möglichst voll- 
ständige Erhebung der Behandlungsdaten sowie eine 
jährliche Auswertung der Registerdaten erreicht werden. 
Die Einrichtung und konkrete Ausgestaltung der klini- 
schen Krebsregister bleibt nach dem Entwurf jedoch den 
Ländern Vorbehalten. Die Landesdatenschutzbeauftragten 
werden die Einrichtung der klinischen Krebsregister in 
ihren Bundesländern begleiten. 

11.5.4 Nationale Kohorte 

Das Gwßprojekt der Gesundheitsforschung bedarf inten- 
siver datenschutzrechtlicher Begleitung. 

Die sog. Nationale Kohorte ist eine bundesweite Lang- 
zeitstudie, bei der über einen Zeitraum von mindestens 
20 bis 30 Jahren die Entwicklung von Volkskrankheiten 
wie Diabetes mellitus, Schlaganfällen, Lungenerkrankun- 
gen, Krebs, Demenz- oder Herz-Kreislauf-Krankheiten 
erforscht werden soll. Gemessen an der Sensibilität und 
Menge der Daten ist die Nationale Kohorte bisher das be- 
deutendste sozial -medizinische Forschungsprojekt, mit 
dem ich mich zu befassen hatte. 

Der im September 2012 gegründete Verein „Nationale 
Kohorte e. V.“ koordiniert das Forschungsvorhaben. Mit- 
glieder sind die Helmholtz-Gemeinschaft Deutscher For- 
schungszentren e. V, Universitäten, die Leibniz-Gemein- 
schaft sowie Ressortforschungseinrichtungen von Bund 
und Ländern. Der Verein trägt die Gesamtverantwortung 
für die datenschutzgerechte Handhabung der Daten und 
Proben. Er ist auch für die Einhaltung der datenschutz- 
rechtlichen Vorgaben in den Studienzentren und bei den 
weiteren beteiligten Stellen verantwortlich. Entsprechende 
vertragliche Vereinbarungen wurden unter den beteiligten 
Institutionen vor Beginn der Feldarbeit abgeschlossen. 

Das Forschungsvorhaben soll bundesweit in 18 lokalen 
Studienzentren durchgeführt werden. Es ist beabsichtigt, 
dass die Zentren die insgesamt 200 000 Studienteilneh- 
mer - Männer und Frauen im Alter von 20 bis 69 Jahren - 
aus verschiedenen Regionen Deutschlands rekrutieren. 
Dort sollen auch die geplanten Nachbeobachtungen erfol- 
gen. Die Studie sieht vor, die Daten direkt bei den Teil- 
nehmern der Nationalen Kohorte auf der Grundlage einer 
freiwilligen, informierten Einwilligung nach § 4a Ab- 
satz 1 BDSG zu erheben. Darüber hinaus sollen für das 
Projekt Sekundärdaten, wie zum Beispiel Abrechnungs- 
daten von gesetzlichen Krankenkassen, erhoben werden. 
Dadurch sollen Krankheitsverläufe auch über einen lan- 
gen Zeitraum vollständig erfasst werden können. 

Angefangen von der Rekrutierung der Studienteilnehmer 
bis hin zur langfristigen Speicherung von Gesundheitsda- 
ten sowie ihrer weiteren Verarbeitung und Nutzung stellt 
sich eine Reihe von datenschutzrechtlichen Fragen. Der 
Verein „Nationale Kohorte“ hat mir sein Datenschutzkon- 
zept vorgelegt, das hierzu bereits zufriedenstellende Lö- 
sungen vorsieht. Weitere Fragen werden sich allerdings 
noch bei der Durchführung der umfangreichen Studien 
ergeben. Da die Studien im Wesentlichen von Universitä- 
ten und anderen Stellen durchgeführt werden, die der da- 


tenschutzrechtlichen Aufsicht der Landesbeauftragten für 
den Datenschufz bzw. den Datenschutzaufsichtbehörden 
für den nicht-öffentlichen Bereich unterliegen, werde ich 
in den kommenden Jahren dieses bundesweite Projekt mit 
den anderen betroffenen Aufsichtsbehörden intensiv be- 
gleiten. 

11.5.5 Transplantationsgesetz - Organspende 
wird ernst genommen 

Das Thema Organspende hat vor allem wegen der be- 
kanntgewordenen Skandale die Öffentlichkeit bewegt. 
Einen Rückgang der Spendebereitschaft hat der Gesetz- 
geber durch mehrere Änderungen des Transplantations- 
gesetzes entgegenzuwirken versucht. 

Durch das „Gesetz zur Regelung der Entscheidungslö- 
sung im Transplantationsgesetz“ vom 12. Juli 2012 
(BGBl. 1 S. 1504) wurde die EU-Richtlinie 2010/53/EU 
umgesetzt, die europaweit einheitliche Qualitäts- und Si- 
cherheitsstandards für Entnahmekrankenhäuser, Trans- 
plantationszentren und andere Bereitstellungsorganisatio- 
nen festlegt. Weiter werden die Anforderungen an die 
Charakterisierung des Spenderorgans und das System der 
Rückverfolgbarkeit einschließlich der Meldung schwer- 
wiegender Zwischenfälle und unerwünschter Reaktionen 
bestimmt. 

Mit diesem Gesetz wurde die bisher geltende Zustim- 
mungslösung durch die Entscheidungslösung ersetzt, mit 
dem Ziel, die Organspendebereitschaft zu fordern, ohne 
die Entscheidungsfreiheit des Einzelnen durch eine Erklä- 
rungspflicht einzuschränken. Zu diesem Zweck soll „jede 
Bürgerin und jeder Bürger regelmäßig im Leben in die 
Lage versetzt werden, sich mit der Frage seiner eigenen 
Spendebereitschaft ernsthaft zu befassen und aufgefordert 
werden, die jeweilige Erklärung auch zu dokumentieren“. 

Zusätzlich wurden die allgemeinen Aufklärungspflichten 
ergänzt: Jede Bürgerin und jeder Bürger ist ausdrücklich 
aufzufordem, eine Entscheidung zur Organspende abzu- 
geben. Die Krankenkassen und privaten Krankenversi- 
cherungsuntemehmen werden ausdrücklich verpflichtet, 
ihren Versicherten im Zusammenhang mit der Ausgabe 
der elektronischen Gesundheitskarte (eGK - vgl. Nr. 4.1) 
geeignetes Informationsmaterial zur Organspende ein- 
schließlich eines Organspendeausweises zur Verfügung 
zu stellen und diese aufzufordem, eine Erklämng zur 
postmortalen Organ- und Gewebespende zu dokumentie- 
ren. 

Um die hochsensiblen Daten zu schützen und die Akzep- 
tanz im Hinblick auf die eGK herzustellen, wurde der 
Kreis der Zugriffsberechtigten auf ein absolutes Mindest- 
maß beschränkt: Zugriffsberechtigt ist ausschließlich der 
Versicherte selbst sowie die in § 291a Absatz 5a SGB V 
genannten Leistungserbringer in Verbindung mit einem 
elektronischen Heilbemfeausweis, der über eine Mög- 
lichkeit zur sicheren Authentifiziemng und über eine qua- 
lifizierte elektronische Signatur verfügt. 

Das „Gesetz zur Änderung des Transplantationsgesetzes“ 
vom 21. Juli 2012 (BGBl. 1 S. 1601) eröffnet den Versicher- 
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ten die Möglichkeit, die Organspendeerklärungen selbst 
oder Hinweise auf das Vorhandensein und den Aufbe- 
wahrungsort von Erklärungen auf der eGK zu speichern. 

Die kurz vor Verabschiedung des Gesetzes geäußerte öf- 
fentliche Kritik an der Forschungsklausel teile ich nicht. 
Die Regelung in § 14 Absatz 2a Satz 2 TPG sieht vor, 
dass Daten von Spendern und Empfängern für ein For- 
schungsvorhaben an Dritte übermittelt werden können, 
allerdings nur in anonymisierter Form. Kann aufgrund 
des Forschungszwecks auf eine Zuordnung der Daten 
nicht verzichtet werden, ist zunächst die Einwilligung des 
Betroffenen einzuholen. Ist dies nicht oder nur mit einem 
un verhältnismäßigen Aufwand möglich und kann der For- 
schungszweck auf andere Weise nicht erreicht werden, be- 
darf es einer Abwägung zwischen dem öffentlichen Inte- 
resse an der Durchführung des Forschungsvorhabens und 
den schutzwürdigen Interessen der Betroffenen. Dabei ist 
zu berücksichtigen, dass es sich um hochsensible Daten 
handelt - etwa Angaben über vorhandene Erkrankungen 
sowie Infektionen wie HIV oder Hepatitis. 

Nach den bekanntgewordenen Skandalen wird darüber 
diskutiert, wie mit Informationen über Mediziner umzu- 
gehen ist, gegen die aufgrund von berufs- oder strafrecht- 
lich relevantem Verhalten rechtskräftige Maßnahmen er- 
griffen worden sind. Hier geht es um die gegenseitige 
Unterrichtung der zuständigen Behörden national und in- 
nerhalb der EU sowie darum, ob derartige Fälle in einer 
allgemein zugänglichen Liste zu veröffentlichen sind. 

Das Thema Organspende wird sicherlich auch in der 
nächsten Zeit in der Diskussion bleiben. Ich werde mich 
daran weiter aktiv beteiligen, soweit es um den Umgang 
mit hochsensiblen Daten geht. 

11.5.6 Substitutionsregister - aber bitte 
datenschutzkonform! 

Das Substitutionsregister soll den Landesgesundheitsbe- 
hörden verlässliche Auskünfte über Behandlungen mit 
Betäubungsmitteln und über die hierzu berechtigten Arzte 
geben. Doch hierfür sind Daten erforderlich, die gegen- 
wärtig nicht erhoben werden dürfen. 

Die Betäubungsmittelverschreibungsverordnung (BtMVV) 
regelt unter anderem die Behandlung eines opiatabhängi- 
gen Patienten durch ein ärztlich verschriebenes Betäu- 
bungsmittel (Substitutionsmittel). Das Bundesinstitut für 
Arzneimittel und Medizinprodukte (BfArM) führt ein Re- 
gister mit Daten über das Verschreiben von Substitutions- 
mitteln. Dieses Substitutionsregister muss zudem alle 
Ärzte ausweisen, die aktiv Substituierungen vornehmen 
beziehungsweise dazu berechtigt sind. Dadurch sollen 
insbesondere Mehrfachverschreibungen von Substitu- 
tionsmitteln durch verschiedene Ärzte für denselben Pa- 
tienten so früh wie möglich verhindert werden. Ferner 
werden die Erfüllung der Mindestanforderungen an eine 
suchttherapeutische Qualifikation der substituierenden 
Ärzte überprüft und den Landesgesundheitsbehörden sta- 
tistische Auswertungen zur Verfügung gestellt. 

Nach der BtMVV sind die Ärztekammern verpflichtet, 
Name und Anschrift der Ärzte zu melden, die zur Substi- 


tutionsbehandlung zugelassen sind. Zusätzlich hat das 
BfArM Angaben zum Geburtsdatum, der Fachgruppen- 
zugehörigkeit, dem Beginn der Qualifikation der betref- 
fenden Ärzte und weitere Informationen wie „Wegzug ins 
Ausland“ angefordert. 

Das BfArM sah sich zur Erhebung dieser Daten durch 
§ 5a Absatz 1 Satz 3 BtMVV befugt, der organisatorische 
Festlegungen gestattet. 

ln meiner datenschutzrechtlichen Bewertung bin ich aller- 
dings zu dem Schluss gekommen, dass diese Befugnis 
keine Ermächtigungsgrundlage für eine erweiterte Daten- 
übermittlung sein kann. Die maßgebliche Rechtsvorschrift 
ist § 5a Absatz 5 Satz 1 BtMVV, der die Datenübermitt- 
lung auf den Namen und die Anschrift des Arztes be- 
schränkt. Auch ein Rückgriff auf die Bestimmungen des 
Bundes- oder der Landesdatenschutzgesetze ist zur Er- 
weiterung des Datenkatalogs nicht zulässig. Gleichwohl 
hat das BfArM nachvollziehbar die Erforderlichkeit des 
erweiterten Datensatzes für ein aktuelles und auskunftsfä- 
higes Register dargelegt. 

Zur Lösung des Problems habe ich in Gesprächen mit 
BfArM und dem BMG eine Erweiterung der entsprechen- 
den Vorschrift in der BtMVV vorgeschlagen. Das BMG 
hat inzwischen einen Arbeitsentwurf für eine Änderungs- 
verordnung vorgelegf, der meinen Vorschlag berücksich- 
tigt. Ich habe die Hoffnung, dass die Änderungsver- 
ordnung in dieser Form in Kraft tritt und die für das 
Substitutionsregisfer erforderlichen Daten künftig daten- 
schutzkonform erhoben werden. 

11.6 Besserer Schutz für unsere Kinder - 
das neue Bundeskinderschutzgesetz 

Das Bundeskinderschutzgesetz soll u. a.für den Ausschluss 
einschlägig Vorbestrafter von Tätigkeiten in der Kinder- 
und Jugendhilfe sorgen. 

Das am 1. Januar 2012 in Kraft getretene Gesetz zur Stär- 
kung eines aktiven Schutzes von Kindern und Jugendli- 
chen (Bundeskinderschutzgesetz - BKiSchG) vom 22. De- 
zember 2011 (BGBl. 1 S. 1975) enthält Verbesserungen 
zum Schutz von Kindern und Jugendlichen in verschiede- 
nen Bereichen. Wesentlicher Bestandteil des Gesetzes ist 
nach seinem Artikel 1 das Gesetz zur Kooperation und 
Information im Kinderschutz (KKG). Darin werden Leis- 
tungs- und Unterstützungsangebote für Eltern geregelt. 
Aus datenschutzrechtlicher Sicht war mir besonders 
wichtig, dass das Verfahren festlegt, welche zusätzlichen 
Erhebungen und Speicherungen personenbezogener 
Daten mit diesen Angeboten verbunden sind. Weiterhin 
werden Rahmenbedingungen für eine strukfurelle Zusam- 
menarbeit im Kinderschutz geschaffen, etwa bei sog. 
Fallberatungen. Je nach Sachverhalt können solche ano- 
nymisierten Fallberatungen auch interdisziplinär erfol- 
gen. Dagegen bestehen keine datenschutzrechtlichen Ein- 
wände. 

Die Beratungsverpfiichtung der Jugendämter wird ebenso 
gestärkt, wie der Anspruch auf Beratung von Personen, 
die beruflich für den Schufz von Kindern und Jugendli- 
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chen verantwortlich sind. Diese Beratungsmöglichkeit 
begrüße ich sehr, sofern dies nicht zu einer strukturierten 
Ermittlung von Personen sowie der Speicherung der per- 
sonenbezogenen Daten allein zum Zweck der Unterrich- 
tung über bestehende Beratungsangebote führt. Eine sol- 
che umfassende personenbezogene Erfassung wäre im 
Hinblick auf den damit verbundenen Eingriff in das infor- 
mationeile Selbstbestimmungsrecht der Betroffenen nicht 
angemessen. 

Nach dem neu gefassten § 72a SGB Vlll dürfen die Trä- 
ger der öffentlichen Jugendhilfe keine einschlägig vorbe- 
straften Personen für Aufgaben in der Kinder- und Ju- 
gendhilfe beschäftigen. Zu diesem Zweck haben sie sich 
bei der Einstellung oder Vermittlung und in regelmäßigen 
Abständen von den Betroffenen ein erweitertes Führungs- 
zeugnis nach dem Bundeszentralregistergesetz vorlegen 
zu lassen. Durch Vereinbarungen mit den Trägem der 
freien Jugendhilfe soll zudem sichergestellt werden, dass 
diese Personen weder beschäftigt noch neben- oder eh- 
renamtlich Aufgaben der Kinder- und Jugendhilfe aus- 
üben dürfen. Datenschutzrechtlich bedeutsam ist die Re- 
gelung, nach der die Träger der öffentlichen und freien 
Jugendhilfe von den eingesehenen Daten nur die Tatsache 
erheben dürfen, dass Einsicht in das Führungszeugnis ge- 
nommen wurde, das Datum des Führungszeugnisses und 
die Information erheben, ob die Person einschlägig be- 
straft wurde. Auch hiergegen habe ich keine datenschutz- 
rechtlichen Bedenken geltend gemacht. 

12 Arbeitsverwaltung 

12.1 Arbeitsverwaltung, SGB II 

12.1.1 Aufsichtszuständigkeit über die Job- 
center als gemeinsame Einrichtungen 

Seit dem 1. Januar 2011 liegt die KontroIIzuständigkeit 
für die Jobcenter als gemeinsame Einrichtungen und für 
die in diesen genutzten zentralen IT- Verfahren der Bun- 
desagentur für Arbeit bei mir - eine anspruchsvolle neue 
Aufgabe! 

Mit dem zum 1 . Januar 2011 in Kraft getretenen „Gesetz 
zur Weiterentwicklung der Organisation der Grundsiche- 
rung für Arbeifsuchende“ (BGBl. 12010 S. 1112) wurde 
mir gemäß § 50 Absafz 4 Safz 3 SGB 11 die Datenschutz- 
kontrolle und die Kontrolle der Einhaltung der Vorschrif- 
ten über die Informationsfreiheit bei den gemeinsamen 
Einrichtungen sowie für die zentralen Verfahren der In- 
formationstechnik nach § 24 BDSG übertragen. Meine 
Forderungen nach personeller Ausstattung (vgl. 23. TB 
Nr. 11.5.1) wurden mit dem Haushaltsjahr 2012 durch 
Schaffung der entsprechenden Planstellen erfüllt. 

Für die Datenschutzkontrolle der seit 1. Januar 2012 auf 
106 erhöhten zugelassenen kommunalen Träger nach 
§ 6b SGB 11 (Optionskommunen) sind weiterhin die Lan- 
desbeauftragten für den Datenschufz zuständig. 

12.1.1.1 Aufsicht über die Jobcenter - Neue 
Aufgaben und Aktivitäten des BfDI 

Es konnten zahlreiche Verbesserungen des Datenschutzes 
in den Jobcentern erzielt werden. 


Seit mir ab 1. Januar 2011 die Zuständigkeit für die Da- 
tenschutzkontrolle bei den Jobcentem als gemeinsame 
Einrichtungen (§ 44b SGB 11) gemäß § 50 Absatz 4 
Satz 3 SGB 11 übertragen ist, habe ich eine Reihe von 
Maßnahmen ergriffen, um Geschäftsführungen und be- 
hördliche Datenschufzbeauftragte für den Sozialdaten- 
schutz in diesen Einrichtungen zu sensibilisieren. Dazu 
gehören insbesondere regelmäßige Beratungs- und Kon- 
trollbesuche vor Ort sowie die Unterstützung der Tätig- 
keit der behördlichen Datenschutzbeauftragten (bDSB) 
der Jobcenter (vgl. Nr. 12.1.1.2). 

Auf meiner Website habe ich für betroffene Bürgerinnen 
und Bürger und Mitarbeiter der Jobcenter eine Reihe von 
Informationen zusammengestellt. Insbesondere verweise 
ich auf eine Liste mit häufig gestellten Fragen zum Ar- 
beitslosengeld 11 („FAQ-Liste“) und auf das Faltblatt 
„Datenschutz im Jobcenter - Ihre Rechte als Antragstel- 
ler“. Das Faltblatt wurde von mir an alle Jobcenter zur 
Auslage in den Kundenbereichen und als Arbeitshilfe für 
die Mitarbeiter versandt. 

Seit Anfang 2011 haben sich, teilweise auf meine Anre- 
gung hin, Netzwerke von Geschäftsführern oder bDSB in 
den Bundesländern oder Regionen entwickelt, die einen 
effektiven Erfahrungsaustausch zu datenschutzrechtli- 
chen Fragen ermöglichen. An den Treffen haben meine 
Mitarbeiter auf Einladung teilgenommen und werden es 
auch in Zukunft gerne tun. Nicht zuletzt die Eingaben von 
Bürgerinnen und Bürgern geben mir die Gelegenheit, ein- 
zelne Jobcenter auf individuelle oder strukturelle Pro- 
bleme im Umgang mit Sozialdaten hinzuweisen und ge- 
zielt auf die Abstellung von Mängeln hinzuwirken. 

12.1.1.2 Behördliche Datenschutzbeauftragte 
in den Jobcentern 

Die Jobcenter sind gesetzlich verpflichtet, behördliche 
Datenschutzbeauftragte (bDSB) zu bestellen. Diese neh- 
men eine wichtige und anspruchsvolle Aufgabe zur Wah- 
rung des Datenschutzes für Kunden und Mitarbeiter wahr. 

Meine Tätigkeit bei der Beratung und Kontrolle der Job- 
center (vgl. Nr. 12.1.1.1) umfasst auch die Unterstützung 
der bDSB. Da die gesetzliche Pflicht zur schriftlichen Be- 
stellung eines bDSB für die Jobcenter nach § 81 Absatz 4 
Satz 1 SGB X i. V. m. § 4f BDSG besteht, habe ich mir 
von allen Einrichtungen deren Namen mit Funktion und 
Umfang der Freistellung melden lassen. Wie ich dabei 
bisweilen feststellen musste, war die Beauftragung noch 
nicht erfolgt oder eine angemessene Freistellung von den 
sonstigen Tätigkeiten nicht eingeräumt. Teilweise hatten 
sich auch Geschäftsführer oder deren Vertreter - unzuläs- 
sigerweise - selbst benannt oder die notwendige Fach- 
kunde fehlte. Daraufhin forderte ich die betroffenen Job- 
center auf, die in den §§ 4f und 4g BDSG festgelegten 
Kriterien und Maßstäbe bei ihren bDSB zu beachten. Im 
Ergebnis haben die betroffenen Jobcenter zuverlässige 
bDSB neu bestellt, den Umfang der Freistellung entspre- 
chend der Größe der Einrichtung angepasst oder bereits 
bestellte bDSB durch geeignete Maßnahmen qualifiziert. 
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Zu meinen Erwartungen an die bDSB gehört die uneinge- 
schränkte Wahrnehmung ihrer internen Kontrollbefugnis. 
Hierunter fallt u. a. die Durchführung von Stichproben 
bei der Verarbeitung der elektronisch und in Akten ge- 
speicherten Sozialdaten und die Prüfung der datenschutz- 
gerechten Ausgestaltung in den Kundenbereichen (Ein- 
gangsbereiche und Mitarbeiterbüros). Zu ihren Aufgaben 
im Jobcenter zählen ebenso Schulungen, insbesondere für 
neue Mitarbeiter (§ 4g Absatz 1 Satz 4 Nummer 2 
BDSG). 

Gerade in der Anfangsphase konnte ich noch viele Unsi- 
cherheiten beim Datenschutz feststellen. So wurden zahl- 
reiche Anfragen von bDSB zu unterschiedlichen Daten- 
schutzsachverhalten von mir beantwortet. 

12.1.1.3 Nicht nur die Kunden der Jobcenter 
haben Mitwirkungspfiichten 

Nicht alle Jobcenter unterstützten mich bei meiner Kon- 
trolltätigkeit im Rahmen der Eingabenbearbeitung. 

Jedermann, der sich mit einer Eingabe an mich wendet 
(§81 Absatz 1 Nummer 1 SGB X), darf auf eine umfas- 
sende und objektive Prüfung seiner Angelegenheit ver- 
trauen. Dazu gehört, dem von der Beschwerde betroffe- 
nen Jobcenter die Möglichkeit zur Stellungnahme und zur 
Darlegung der Sach- und Rechtslage einzuräumen. Die 
Verpflichtung des Jobcenters, mich bei der Erfüllung mei- 
ner Aufgaben umfassend zu unterstützen, hat der Gesetz- 
geber in § 50 Absatz 4 Satz 3 SGB 11 i. V. m. § 24 Ab- 
satz 4 BDSG normiert. 

Leider ist das Interesse einiger Jobcenter an der Aufklä- 
rung eines Sachverhalts merklich geringer als das der be- 
troffenen Petenten. Wenn einzelne Jobcenter grundsätz- 
lich erst auf meine Erinnerungsschreiben oder sogar erst 
nach Androhung einer Beanstandung gemäß § 25 BDSG 
reagiert haben, wurde der Datenschutz dort noch nicht als 
Grundrecht der Bürger begriffen. Aufgrund meiner Hin- 
weise wurde der bislang mangelnden Kooperationsbereit- 
schaft aber entweder durch Wechsel in der Person des be- 
hördlichen Datenschutzbeauflragten oder durch deren 
hinreichende Entlastung inzwischen abgeholfen. 

Ich erwarte, dass künftig alle meiner Kontrollzuständig- 
keit unterliegenden Einrichtungen ihren Unterstützungs- 
pflichten mit der gebotenen Sorgfalt und in angemessener 
Zeit nachkommen. Diese Forderung werde ich auch wei- 
terhin gegenüber allen Jobcentem durchsetzen. 

12.1.2 Neues Leistungsgewährungsverfahren 
der Bundesagentur für Arbeit: 
„ALLEGRO“ soii „A2LL“ abiösen 

Wiederholt musste ich über datenschutzrechtliche Mängel 
des von der BA zentral verwalteten Erhebungs- und Lei- 
tungssystems ,,A2LL“ berichten (vgl. 22. TB Nr. 16.6). 
Inzwischen hat die BA mit der Entwicklung eines neuen 
IT-Verfahrens „ALLEGRO“ (ALg II LEistungsverfahren 
GRundsicherung Online) begonnen. 

Die BA hat mir das neue Verfahren „ALLEGRO“ im 
April 2012 erstmals vorgestellt. Dabei konnte ich mich 


über die neuen Funktionalitäten, die Schnittstellen zu an- 
deren zentralen Verfahren der BA, die Datenmigration 
und die weiteren Projektschritte bis zur geplanten Einfüh- 
rung in den Jobcentem (voraussichtlich Ende 2013) un- 
terrichten. Bei dieser Gelegenheit habe ich meine daten- 
schutzrechtlichen Erwartungen an das neue Verfahren 
deutlich gemacht. Dazu gehören umfassende Protokollie- 
rungsfunktionen, ein Berechtigungskonzept, das sich an 
den Tätigkeits- und Kompetenzprofilen für Mitarbeiter 
im SGB 11-Bereich orientiert, individuelle Löschfunktio- 
nalitäten, die sich nach den gesetzlichen Speicherfristen 
bestimmen, und eine verbindliche Arbeitshilfe, die als 
Dienstanweisung sicherstellen muss, dass in Freitextfel- 
dem nur die erforderlichen Daten eingetragen werden. 

Ich sehe es positiv, dass keine Datenmigration aus 
„A2LL“ nach „ALLEGRO“ vorgesehen ist und bei jedem 
Neu- oder Weiterbewilligungsantrag die notwendigen 
Daten nur in das neue Verfahren eingegeben werden. 
Gleichzeitig wird der Leistungsfall im alten Verfahren 
„A2LL“ eingestellt und die Daten können nach einer 
Übergangsfrist gelöscht werden. Damit ist sichergestellt, 
dass keine Übernahme von - teilweise datenschutzrecht- 
lich problematischen - Altdaten in „ALLEGRO“ erfolgt. 
Die BA hat zugesagt, mich fortlaufend bei der weiteren 
Entwicklung des IT- Verfahrens „ALLEGRO“ zu beteili- 
gen und meine Anregungen aufzunehmen. 

12.1.3 Einzelfälle 

Im Berichtszeitraum haben mich zahlreiche Eingaben von 
Bürgerinnen und Bürgern erreicht, denen ich nachgegan- 
gen bin. 

12.1.3.1 Hausbesuch mit Erfassung des 

Wohnungsinventars aufgrund einer 
anonymen Anzeige 

Häufig haben sich Betroffene an mich gewandt, weil Mit- 
arbeiter des Jobcenters im Außendienst (§ 6 Absatz 1 
Satz 2, 2. Halbsatz SGB II) Hausbesuche durchgeführt 
haben. 

ln einem Einzelfall hat sich eine Leistungsberechtigte bei 
mir über einen unangekündigten Hausbesuch beschwert. 
Anlass war eine anonym beim Jobcenter eingegangene 
Anzeige, die Petentin würde sich nur sporadisch in ihrer 
Wohnung aufhalten. Während der Außendienst den von 
der Petentin vorgetragenen Indizien für ihre regelmäßige 
Nutzung der Wohnung wenig Beachtung schenkte, proto- 
kollierte er umso gewissenhafter die gesamte in der Woh- 
nung vorhandene Einrichtung in einer Inventarliste. Im 
Schriftwechsel zwischen der Petentin und dem Jobcenter 
gab dieses später an, die Inventarliste als vorsorgliche 
Maßnahme bei eventuell späteren Anträgen auf finan- 
zielle Leistungen für Einrichtungsgegenstände gefertigt 
zu haben. 

Mit der Durchführung des unangekündigten Hausbesuchs 
sowie der Erhebung und Speicherung des Wohnungs- 
inventars in einer Liste hat das Jobcenter gegen daten- 
schutzrechtliche Bestimmungen verstoßen. Bereits der 
Hausbesuch stellte einen unverhältnismäßigen Eingriff in 



Deutscher Bundestag - 17. Wahlperiode 


- 157- 


Drucksache 17/13000 


die Persönlichkeitsrechte der Petentin dar. Dieser wurde 
direkt nach Eingang der anonymen Anzeige ohne Prüfung 
weiterer Indizien allein auf Grund des - dazu noch un- 
sachlichen - Inhalts der Anzeige durchgefuhrt. Ohne wei- 
tere hinzutretende Hinweise hätte das Jobcenter die Pe- 
tentin aufgrund des Ersterhebungsgrundsatzes (§ 67a 
Absatz 2 Satz 1 SGB X) zunächst persönlich zur anony- 
men Anzeige befragen müssen. Da Zweck des Hausbe- 
suchs die Feststellung war, ob die Petentin in der Woh- 
nung ihren gewöhnlichen Aufenthalt hat, waren weder 
die Fertigung der Inventarliste noch deren Speicherung in 
der Leistungsakte erforderlich. Hier hätte ein Prüfbericht 
des Inhalts genügt, die Petentin sei in der Wohnung ange- 
troffen worden und es hätten keine Hinweise für eine re- 
gelmäßige Abwesenheit festgestellt werden können. Das 
Jobcenter hat eingeräumt, die Inventarliste für einen an- 
deren, aktuell nicht anstehenden Zweck und damit auf 
Vorrat angefertigt zu haben. 

Auf eine Beanstandung des Datenschutzverstoßes habe 
ich nur verzichtet, weil das Jobcenter auf meine Hinweise 
hin das unverhältnismäßig umfangreiche Prüfprotokoll 
sowie die Inventarliste aus der Akte gelöscht hat. Außer- 
dem hat das Jobcenter seine Dienstanweisungen für die 
Beauftragung des Außendienstes überarbeitet und dabei 
meine Hinweise bei der Festlegung der Verfahrensabläufe 
berücksichtigt. 

12.1.3.2 Beratung in Doppelbüros 

Das Sozialgeheimnis muss auf jeden Fall gewahrt blei- 
ben. 

Immer wieder beschweren sich Petenten darüber, sie wür- 
den als Kunden im Jobcenter in einem Doppelbüro zur 
gleichen Zeit mit ihnen unbekannten Dritten beraten. 
Hierbei können die Betroffenen gegenseitig eine Vielzahl 
von persönlichen Informationen der jeweils anderen Kun- 
den wahmehmen. Von der Einladung von zwei Kunden 
zum gleichen Zeitpunkt in ein Doppelbüro konnte ich 
mich anlässlich meiner Kontrollbesuche vor Ort überzeu- 
gen. Die betreffenden Jobcenter begründen die Erforder- 
lichkeit von parallelen Beratungsgesprächen in einem 
Raum mit den baulichen Gegebenheiten vor Ort und ei- 
nem Mangel an Einzelbüros. 

Alle Jobcenter haben gemäß § 78a SGB X die organisato- 
rischen Maßnahmen zu treffen, die erforderlich sind, um 
den Sozialdatenschutz für ihre Kunden zu gewährleisten. 
Die Wahrung des Sozialgeheimnisses (§35 Absatz 1 
SGB 1) umfasst die Verpflichtung, auch innerhalb des 
Jobcenters sicherzustellen, dass die Sozialdaten nur Be- 
fugten zugänglich sind oder nur an diese weitergegeben 
werden. Somit ist die gleichzeitige Beratung mehrerer 
Kunden in Doppelbüros unzulässig und kann nur durch 
eine abwechselnde Terminvergabe vermieden werden. 
Ich habe die entsprechenden Jobcenter daher aufgefor- 
dert, von der Praxis der gleichzeitigen Terminierung in 
Doppelbüros Abstand zu nehmen. Alternativ sind Dop- 
pelbüros durch bauliche Maßnahmen wie Schall- und 
Sichtschutzwände so zu gestalten, dass das Sozialgeheim- 
nis gewahrt bleibt. 


12.1.3.3 Dürfen Jobcenter Daten aus sozialen 
Netzwerken verwenden? 

Jobcenter sollten von Recherchen in Internetsuchmaschi- 
nen und sozialen Netzwerken nur ausnahmsweise Ge- 
brauch machen. 

Die von Geschäftsführern und behördlichen Datenschutz- 
beauftragten von Jobcentem aufgeworfene Frage, ob die 
Nutzung von Intern etsuchmaschinen und sozialen Netz- 
werken im Rahmen der Sachverhaltsermittlung (§ 20 
SGB X) datenschutzrechtlich zulässig ist, lässt sich nur 
differenziert und unter Beachtung der Grundsätze des So- 
zialdatenschutzes (§§ 67 ff SGB X) beantworten. 

Zunächst muss die Erforderlichkeit der Datenerhebung 
für die Aufgabenerfüllung in jedem Einzelfall gegeben 
sein (§ 67a Absatz 1 Satz 1 SGB X). Weiterhin gilt auch 
für die Jobcenter der Grundsatz, dass Sozialdaten zuerst 
beim Betroffenen zu erheben sind (§ 67a Absatz 2 Satz 1 
SGB X), was dessen bewusste Mitwirkung an der Daten- 
erhebung voraussetzt, die bei der Erhebung im Internet 
grundsätzlich nicht gegeben ist. Im Fall sozialer Netz- 
werke haben die Betroffenen zwar ihre Daten selbst ein- 
gestellt, jedoch keine Kenntnis davon, dass das Jobcenter 
Daten gezielt aus sozialen Netzwerken auswertet. Dazu 
kommt, dass die Nutzungsbedingungen dieser sozialen 
Netzwerke in vielen Fällen eine zweckfremde Nutzung 
ausschließen, soweit der Nutzer diese Daten nicht für die 
öffentliche Verwendung freigegeben hat. Damit haben die 
Betroffenen an der Datenerhebung nicht bewusst mitge- 
wirkt. Dies gilt umso mehr, wenn die Informationen 
durch einen Dritten ins Internet gestellt wurden. 

Ich sehe in der gezielten Abfrage von Daten aus sozialen 
Netzwerken eine Datenerhebung bei Dritten. Eine solche 
Abfrage ist nur zulässig, wenn eine gesetzliche Regelung 
dies ausnahmsweise erlaubt. Als Ausnahmetatbestand 
kommt hier § 67a Absatz 2 Satz 2 Nummer 2 lit. b) 
SGB X in Betracht; danach muss die Erhebung bei ande- 
ren Personen oder Stellen zur Erfüllung der Aufgaben des 
Jobcenters erforderlich sein, da sie nicht beim Betroffe- 
nen selbst erfolgen kann. 

Im Fall einer Missbrauchskontrolle kann dies ausnahms- 
weise so sein, es müssen aber bereits erste konkrete An- 
haltspunkte für einen Missbrauch vorliegen. Ein pauscha- 
ler Abgleich ist nicht gestattet. Die Abfrage von Daten in 
Suchmaschinen und sozialen Netzwerken muss aber auch 
eine geeignete Maßnahme sein. Hier habe ich erhebliche 
Zweifel, da Angaben in sozialen Netzwerken aus ver- 
schiedenen Gründen häufig nicht der Realität entspre- 
chen. Beispielsweise kann der Nutzer sein Profil lange 
nicht mehr aktualisiert haben oder er möchte Änderungen 
seiner Lebensumstände absichtlich nicht einstellen, damit 
sie anderen Nutzem nicht bekannt werden. Da somit die 
Authentizität der eingestellten Daten nicht sichergestellt 
ist, ist auch die Geeignetheit der Erhebung entsprechen- 
der Daten in Frage gestellt. 

Das Gesetz lässt eine Ausnahme vom Ersterhebungs- 
gmndsatz auch dann zu, wenn die Erhebung beim Betrof- 
fenen einen unverhältnismäßigen Aufwand erfordern 
würde. Die Recherche im Internet wäre häufig ein weni- 
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ger aufwendiges Mittel. Das kann aber gleichwohl nicht 
ihren pauschalen Einsatz rechtfertigen. Es müssen Um- 
stände vorliegen, die die Erhebung beim Betroffenen auf- 
wendiger machen als dies gewöhnlich der Fall ist. Da- 
rüber hinaus muss auch in diesem Fall die Maßnahme 
geeignet sein und es dürfen keine überwiegend schutz- 
würdigen Interessen des Betroffenen beeinträchtigt wer- 
den. Deswegen habe ich auch hier erhebliche Zweifel den 
Jobcentem gegenüber geäußert. Überdies müssten in al- 
len Fällen die Betroffenen über die entsprechende Daten- 
erhebung bei Dritten unterrichtet werden (§ 67a Absatz 5 
SGB X), sofern sie nicht bereits Kenntnis hiervon haben. 

Ich habe den betroffenen Jobcentem nahegelegt, Intemet- 
suchmaschinen und soziale Netzwerke im Rahmen der 
Sachverhaltsaufklämng nur in Ausnahmefällen und nach 
vorheriger Prüfung aller gesefzlichen Voraussetzungen zu 
nutzen. Dies werde ich regelmäßig im Rahmen meiner 
Beratungs- und Kontrollbesuche vor Ort überprüfen. 

12.1.3.4 Übermittlung von Stellungnahmen der 
Arbeitnehmer an ehemalige Arbeitgeber 

Die BA hat aufgrund meiner Hinweise ihre zentralen Vor- 
drucke datenschutzkonform gestaltet. 

Betroffene, die bei einem Jobcenter Leistungen nach dem 
SGB 11 beantragt hatten, beschwerten sich, ihre für das 
Jobcenter bestimmte Stellungnahme über die Beendigung 
des bisherigen Arbeitsverhältnisses sei von diesem an den 
ehemaligen Arbeitgeber übermittelt worden. Hierfür 
wurde häufig ein zentraler Vordmck der BA benutzt. 

Erwerbsfähige Leistungsberechtigte verletzen ihre Pflich- 
ten, wenn sie sich weigern, eine zumutbare Arbeit fortzu- 
führen (§31 Absafz 1 Nummer 2 SGB 11). Bei Beendi- 
gung eines Arbeifsverhältnisses kann es somif für das 
Jobcenter erforderlich sein, eine Pflichtverletzung zu prü- 
fen, die eine Mindemng der Leistungen zur Folge hätte. 
Hierbei ist seitens des Jobcenters der Ersterhebungs- 
gmndsatz zu beachten, nach dem Sozialdaten vorrangig 
beim Betroffenen zu erheben sind (§ 67a Absatz 2 Satz 1 
SGB X). Sind die Angaben des Arbeitnehmers nicht aus- 
reichend, hat das Jobcenter den Sachverhalt von Amts 
wegen zu ermitteln (§ 20 Absatz 1 SGB X). Dabei ist eine 
Übermittlung von Sozialdaten an den ehemaligen Arbeit- 
geber, um diesen nach Gründen der Beendigung eines Be- 
schäftigungsverhältnisses zu befragen, nach §§ 67d, 68 
Absatz 1 Nummer 1 SGB X i. V. m. § 31 Absatz 1 Num- 
mer 2 SGB 11 zulässig, wenn dies für die Entscheidung 
der Pflichtverletzung erforderlich ist. 

Somit müssen die Jobcenter im Einzelfall prüfen, ob die 
Weiterleitung der Stellungnahme des Arbeitnehmers an 
den Arbeitgeber überhaupt erforderlich ist. Bislang sahen 
die verwendeten BA- Vordrucke zur Befragung des ehe- 
maligen Arbeitgebers keine neutrale Anfrage vor, sodass 
zwingend mit der Anfrage die Stellungnahme des Arbeit- 
nehmers ganz oder in Auszügen übermittelt wurde. Das 
halte ich für problematisch. 

Die BA hat auf meine Bitte hin den Vordruck so ange- 
passt, dass die Stellungnahme des Arbeitnehmers zum 
Kündigungsgrund dem Arbeitgeber nur noch in begrün- 


deten Ausnahmefällen zur Kenntnis gegeben werden soll. 
Weiterhin soll der Arbeitnehmer bereits im Anhörungs- 
schreiben einen Hinweis erhalten, dass seine Stellung- 
nahme dem früheren Arbeitgeber ganz oder in Auszügen 
bekannt gegeben werden darf, wenn sich der Sachverhalt 
nur auf diese Weise vollständig aufklären lässt. Ich be- 
grüße die bereits erfolgten Anpassungen der zentralen 
Vordrucke durch die BA und werde die künftige Umset- 
zung in den Jobcentem kontrollieren. 

12.1.3.5 Übermittlung eines ärztlichen 
Gutachtens an das Sozialamt 

Unter bestimmten Voraussetzungen dürfen Jobcenter 
ärztliche Gutachten an Sozialämter weiterleiten. 

Eine Reihe von Betroffenen hat sich darüber beklagt, Job- 
center übermittelten ihre vom Ärztlichen Dienst der Bun- 
desagentur für Arbeit (BA) erstellten Gutachten an So- 
zialämter, ohne ihre Einwilligung eingeholt oder ihnen 
zumindest einen Hinweis auf ihr Widerspmchsrecht ge- 
geben zu haben. 

Die in den ärztlichen Gutachten erhobenen Gesundheits- 
daten sind sensible personenbezogene Daten besonderer 
Art (§ 67 Absatz 12 SGB X), die allerdings durch die 
Jobcenter als Stellen nach § 35 SGB I für die Prüfung der 
Erwerbsfähigkeit als gesetzliche Aufgabe erhoben, verar- 
beitet und genutzt werden dürfen (§ 67a Absatz 1 Satz 1, 
§ 67b Absatz 1 Satz 1 SGB X i. V. m. § 8 SGB II). 

Die Kenntnis der Inhalte dieser Gutachten war in den von 
mir geprüften Fällen für die Erfüllung einer gesefzlichen 
Aufgabe der Sozialämter als Leistungsträger nach § 28 
SGB I erforderlich, da die Betroffenen dort Anträge auf 
Leistungen nach dem SGB XII gestellt hatten. Der An- 
spruch auf Sozialhilfe nach dem SGB XII besieht dann, 
wenn bei der Begutachtung eine dauerhafte oder zumin- 
dest mehr als sechsmonatige Erwerbsunfähigkeit festge- 
stellt wurde. Die Prüfung der Anspmchsvoraussetzungen 
für die beantragten Leistungen konnte in den Sozial- 
ämtern nur anhand der ärztlichen Gutachten der Jobcenter 
(Teil B, sozialmedizinische Stellungnahme mit den Anga- 
ben zur Erwerbs- und Leistungsfähigkeit, ohne medizini- 
sche Dokumentation und Erörtemng) durchgeführt wer- 
den. Dies habe ich mir von den für die Aufsicht über die 
Sozialämter zuständigen Landesdatenschutzbeauftragten 
im Einzelfall bestätigen lassen. 

Der Ersterhebungsgrundsatz nach § 67a Absatz 2 Satz 1 
SGB X sieht gmndsätzlich eine Anfordemng der Gutach- 
ten durch die Sozialämter bei den Betroffenen selbst vor. 
Für die Übermittlung von Gesundheitsdaten zwischen So- 
zialleistungsträgem lässt § 67a Absatz 2 Satz 2 Num- 
mer 1 SGB X nur eine gesetzlich eng geregelte Aus- 
nahme von diesem Gmndsatz zu. Nach dieser durften die 
Sozialdaten ohne Mitwirkung der Betroffenen von den 
Sozialämtern nur erhoben werden, wenn die Jobcenter ih- 
rerseits zur Übermittlung der Daten an die Sozialämter 
befugt waren. 

Die entsprechende Befugnis leitet sich bei vorliegender 
Fallgestaltung aus § 76 Absatz 2 Nummer 1 i. V. m. § 69 
Absatz 1 Nummer 1 SGB X ab. Danach darf ein ärztli- 
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ches Gutachten, das im Hinblick auf den Bezug von So- 
zialleistungen erstellt wurde, vom Jobcenter nur übermit- 
telt werden, wenn es für die Erfüllung einer gesefzlichen 
Aufgabe des Empfängers, hier des Sozialamtes, erforder- 
lich ist und der Betroffene der Übermittlung nicht wider- 
sprochen hat. Hierauf wurden die Betroffenen in jedem 
Einzelfall von den Jobcentem als verantwortliche Stelle 
zu Beginn des Verwaltungsverfahrens in allgemeiner 
Form hingewiesen. 

Jeder Antragsteller auf Leistungen nach dem SGB 11 hat 
von seinem Jobcenter das „Merkblatt SGB 11 - Grund- 
sicherung für Arbeifsuchende“ der BA (Stand April 2012) 
erhalten, wo unter der Überschrift „Datenschutz“ auf 
Seite 70 in einem mit blauem Hintergrund hervorgehobe- 
nen Kasten das Folgende ausgeführt ist: „Ärztliche und 
psychologische Gutachten sowie Befunde sind von der 
Übersendung ausgenommen, wenn Sie der Übermittlung 
ausdrücklich widersprochen haben“. Zusätzlich wird vor 
jeder Begutachtung durch den Ärztlichen Dienst der BA 
ein Gesundheitsfragebogen mit vorangestelltem „Infor- 
mationsblatt zur Vorstellung im Ärztlichen Dienst“ an die 
Betroffenen ausgehändigt. Darin ist der im Schriftbild be- 
sonders hervorgehobene Hinweis „Medizinische Daten 
sind von der Übersendung ausgeschlossen, wenn Sie der 
Übermittlung ausdrücklich widersprochen haben“ enthal- 
ten. 

Mit den schriftlichen Hinweisen auf das Widerspruchs- 
recht sind die Jobcenter ihrer Pflicht nach § 76 Absatz 2 
Nummer 1 SGB X nachgekommen. Der Gesetzgeber hat 
in seiner Begründung zum 2. Gesetz zur Änderung des 
Sozialgesetzbuchs (2. SGBÄndG vom 18. Juni 1993) 
ausgeführt, der letzte Halbsatz in § 76 Absatz 2 Num- 
mer 1 SGB X sei eingefügt worden, um klarzustellen, 
dass der Betroffene nur in allgemeiner Form auf sein 
Widerspruchsrecht hinzuweisen ist (vgl. Bundestags- 
drucksache 12/5187 zu § 76 SGB X). Von diesem Wider- 
spruchsrecht hatte keiner der Petenten Gebrauch ge- 
macht. 

Da alle gesetzlichen Voraussetzungen für eine Übermitt- 
lung der ärztlichen Gutachten an die Sozialämter erfüllt 
waren, konnte ich keinen Datenschutzverstoß feststellen. 

12.1.3.6 Erhebung und Speicherung einer 
Vieizahi von Unteriagen in den 
Jobcentern 

Zahlreiche Kunden der Jobcenter beschweren sich über 
die Vielzahl der angeforderten Unterlagen und deren Auf- 
nahme in die Leistungsakten. 

ln Bürgereingaben wird häufig beklagt, Jobcenter forderten 
zu viele Unterlagen an und würden diese dann kopieren 
und speichern. Bei meinen Beratungs- und Kontrollbesu- 
chen der Jobcenter habe ich in der Tat unverhältnismäßig 
viele Unterlagen in den Leistungsakten gefunden. Dies 
gilt insbesondere für Kopien des Personalausweises und 
der Kontoauszüge. 

Bei Anträgen auf Arbeitslosengeld 11 müssen die dazu er- 
forderlichen Unterlagen vorgelegt werden, um die An- 
spruchsvoraussetzungen nach den §§ 7 ff. SGB 11 fest- 


stellen zu können, was auch die Überprüfung der Identität 
einschließt (§60 Absatz 1 Nummer 3 i. V. m. §61 
SGB 1). Zur Kontrolle der Personalien können die Mitar- 
beiter der Jobcenter auch die Vorlage eines gültigen Pas- 
ses oder Personalausweises verlangen, da die Daten des 
Personalausweises, insbesondere die aktuelle Wohnan- 
schrift, mit den Angaben im Antrag übereinstimmen müs- 
sen. Eine Kopie des Dokuments in der Akte ist aber zur 
Identifizierung und Aufgabenerfüllung nicht erforderlich. 
Vielmehr genügt ein dort oder auf dem Antragsformular 
anzubringender Vermerk, dass der aktuelle Personalaus- 
weis oder ein anderes Ausweisdokument Vorgelegen hat. 
Dies entspricht auch der Auffassung der Bundesagentur 
für Arbeit (vgl. „HEGA 01/12 - 08 - Empfehlungspaket 
zum Aufbau und Führen einer Leistungsakte“) und der 
für die Jobcenter in der Rechtsform der zugelassenen 
kommunalen Träger (Optionskommunen) zuständigen 
Datenschutzbeauftragten der Länder, wie eine schriftliche 
Umfrage unter den Datenschutzbeauftragten des Bundes 
und der Länder vom 31. Januar 2012 bestätigt hat. 

Die Vorlage der Kontoauszüge darf das Jobcenter bei der 
Beantragung von Leistungen nach dem SGB 11 regelmä- 
ßig für einen zurückliegenden Zeitraum von drei Monaten 
verlangen, gleichgültig, ob es sich um einen Erstantrag, 
einen Folgeantrag oder eine einmalige Leistung handelt 
(Urteil des BSG vom 19. Februar 2009, B 4 AS 10/08 R). 
Auch in Einzelfragen kann die Vorlage von Auszügen er- 
forderlich sein, wenn der Zugang eines Einkommens auf 
dem Konto zu prüfen ist. Eine weitergehende Verpflich- 
tung, Kontoauszüge für einen Zeitraum von bis zu sechs 
Monaten einzureichen, kann regelmäßig bei selbständigen 
Leistungsberechtigten bestehen, da diese die tatsächlichen 
Einnahmen und Ausgaben des vergangenen Bewilligungs- 
zeitraums (i. d. R. sechs Monate, vgl. § 41 Absatz 1 
Satz 4 SGB 11) nachweisen müssen. Schon bei der Auf- 
forderung muss seitens des Jobcenters auf die Möglich- 
keit zur Schwärzung einzelner Passagen hingewiesen 
werden. Diese Möglichkeit besteht jedoch nur bei Ausga- 
bebuchungen und nicht bei Einnahmen, denn Geldein- 
gänge muss das Jobcenter daraufhin prüfen, ob diese als 
Einkommen (§11 SGB 11) den Leistungsanspruch min- 
dern. Die Schwärzungsmöglichkeit bei Ausgabebuchun- 
gen bezieht sich nicht auf das Buchungs- und Wertstel- 
lungsdatum oder den Betrag, sondern ausschließlich auf 
bestimmte Passagen des Empfängers und des Buchungs- 
texfes, wenn der zu Grunde liegende Geschäftsvorgang 
für die Prüfung durch das Jobcenter plausibel bleibt. Ge- 
schwärzt werden dürfen vor allem die in den Auszügen 
enthaltenen besonderen Arten personenbezogener Daten, 
wie Angaben über die rassische und ethnische Herkunft, 
politische Meinungen, religiöse und philosophische 
Überzeugungen, Gewerkschaftszugehörigkeit, Gesund- 
heit und Sexualleben. Nach der Schwärzung des genauen 
Namens des Empfängers müssen Texte wie „Mitglieds- 
beitrag“, „Zuwendung“ oder „Spende“ als grundsätzli- 
cher Geschäftsvorgang erkennbar bleiben. 

Nach der Einsicht in die Kontoauszüge muss dem Jobcen- 
ter aber regelmäßig der Vermerk in der von ihm geführten 
Akte genügen, diese hätten Vorgelegen und keine Auswir- 
kung auf den Leistungsanspruch gehabt. Eine Speiche- 
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rung einzelner Buchungen oder Auszüge (§ 67 Absatz 6 
Satz 2 Nummer 1 SGB X) kommt nur dann in Betracht, 
wenn sich aus den Unterlagen ein weiterer Ermittlungsbe- 
darf oder eine Änderung in der Leistungshöhe ergibt. 

Ich habe die betreffenden Jobcenter zur Bereinigung ihrer 
Akten aufgefordert. Das Kopieren von Personalauswei- 
sen und Kontoauszügen für die Leistungsakten werde ich 
auch weiterhin bei meinen Kontrollen vor Ort regelmäßig 
ansprechen. 

12.1.3.7 Übermittlung von Sozialdaten an 
Vermieter 

Jobcenter dürfen den Sozialleistungsbezug von Antrag- 
stellern in der Regel nicht ohne deren Einwilligung an 
Vermieter offenbaren. 

Wiederholt gingen bei mir Beschwerden ein, die sich ge- 
gen die Mitteilung des Sozialleistungsbezuges von An- 
tragstellern an Dritte durch Jobcenter bei der Leistungs- 
bewilligung richteten. Zum Teil wurde von Antragstellern 
verlangt, eine Bescheinigung vom Vermieter ausfüllen 
und unterzeichnen zu lassen, oder es wurden Sozialdaten 
ohne Einwilligung der Betroffenen unmittelbar beim Ver- 
mieter abgefragt. 

Nach § 67a Absatz 2 Satz 1 SGB X sind Sozialdaten 
beim Betroffenen zu erheben. Das Jobcenter ist deswegen 
verpflichtet, die für die Prüfung von Leistungen für Un- 
terkunft und Heizung (KdU) nach § 22 SGB 11 benötigten 
Daten beim Betroffenen selbst zu erheben. Diese Leistun- 
gen werden in Höhe der tatsächlichen Aufwendungen er- 
bracht, soweit sie angemessen sind (§ 22 Absatz 1 Satz 1 
SGB 11). Für die Berechnung der KdU benötigt das Job- 
center daher Angaben zu den Wohnverhältnissen der leis- 
tungsberechtigten Person. 

Die Art und Weise, wie der Betroffene die Daten zu er- 
bringen hat, wird vom Gesetz nicht näher bestimmt. Die 
von Jobcentem verlangte Vermieterbescheinigung stellt 
insofern lediglich ein Angebot für eine erleichterte An- 
tragstellung dar, sodass keine Verpflichtung des Betroffe- 
nen zur Vorlage der ausgefüllten Bescheinigung des Ver- 
mieters besteht. Mangels Qualität einer Beweisurkunde 
i. S. V. § 60 Absatz 1 Satz 1 Nummer 3 SGB 1 können 
dem Betroffenen bei Nichtvorlage auch keine Nachteile 
aufgrund fehlender Mitwirkung entstehen. 

Als alternativer Nachweis der Mietkosten bieten sich die 
Vorlage des Mietvertrages und die Vorlage von Unterla- 
gen zu Neben-, Heiz- und sonstigen Kosten an. Bei dem 
Mietvertrag können nicht leistungsrelevante Passagen ge- 
schwärzt werden, um etwa Daten von Mitmietem oder 
die des Vermieters nicht zu offenbaren. Wenn einzelne 
Nachweise nicht erbracht werden können oder wenn im 
Einzelfall der begründete Verdacht besteht, dass Angaben 
unrichtig oder unvollständig sind, können weitere Nach- 
weise verlangt werden. Bei Untermietverhältnissen 
besteht grundsätzlich keine Verpflichtung, den Haupt- 
mietvertrag vorzulegen. In besonders begründeten Ein- 
zelfällen kann allerdings eine Aufforderung dazu erfol- 
gen. 


Ohne eine Vermieterbescheinigung werden in der Regel 
Angaben wie das Alter des Hauses fehlen. Sofern der Be- 
troffene insoweit benötigte Daten nicht vorlegt, kann das 
Jobcenter das Alter eines Hauses beispielsweise beim Ka- 
tasteramt erfragen, ohne dass ein Bezug zum Betroffenen 
hergestellt werden muss. 

Diese Grundsätze zur Wahrung des Sozialgeheimnisses nach 
§ 35 SGB I gegenüber einem Vermieter durch die Jobcenter 
hat auch die aktuelle Entscheidung des Bundessozialgerichts 
(BSG) vom 25. Januar 2012 (Az. B 14 AS 65/11 R) bestä- 
tigt. Wie das BSG darin feststellt, ist der Bezug von Ar- 
beitslosengeld II ein Sozialdatum, dessen Offenbarung 
durch ein Jobcenter nur zulässig ist, wenn der Leistungs- 
bezieher eingewilligt hat oder eine gesetzliche Offenba- 
rungsbefugnis vorliegt. An beiden Voraussetzungen fehlte 
es bei den von mir geprüften Eingaben, sodass ich in die- 
sen Fällen einen Verstoß gegen das Sozialgeheimnis fest- 
gestellt habe. 

12.1.3.8 Gesundheitsdaten im Jobcenter 

Da der Umgang mit Gesundheitsdaten im Jobcenter mit 
dem bei den Agenturen für Arbeit vergleichbar ist, wird auf 
die dortigen Ausführungen verwiesen (vgl. Nr. 12.2.3). 

12.1.3.9 Personaldatenschutz in Jobcentern - 
aus einer Hand 

Für den behördenintemen Mitarbeiterdatenschutz in den 
Jobcentern sind die dortigen behördlichen Datenschutz- 
beauftragten zuständig - für sämtliche Mitarbeiterinnen 
und Mitarbeiter, unabhängig davon, ob diese Beschäftigte 
der Bundesagentur für Arbeit oder der Kommune sind. 

Meine Kontrollbefugnis erstreckt sich dabei auch auf die 
Erhebung, Verarbeitung und Nutzung von Personal-/Per- 
sonalaktendaten der Mitarbeiterinnen und Mitarbeiter der 
Jobcenter, soweit sich diese Daten im Bereich des jeweili- 
gen Jobcenters befinden, unabhängig davon, ob es sich 
um Beschäftigte der Bundesagentur für Arbeit (BA) oder 
der Kommunen handelt. 

Mich haben im Berichtszeitraum viele Anfragen aus den 
Jobcentem zum behördenintemen Mitarbeiterdatenschutz 
in den gemeinsamen Einrichtungen erreicht. Gmnd für die 
Veransichemng sind im Wesentlichen die von der BA am 
20. Juli 2012 veröffentlichten Handlungsempfehlungen/ 
Geschäftsanweisungen (HEGA) 07/2012 - 06 „Grandsätze 
und Verfahren für die Beteiligung des Datenschutzbeauf- 
tragten der Bundesagentur für Arbeit“. Darin vertritt die 
BA die Ansicht, der Mitarbeiterdatenschutz werde man- 
gels anders lautender gesetzlicher Regelung für die BA- 
Mitarbeiter vom Datenschutzbeauftragten der BA und für 
die kommunalen Mitarbeiter von dem kommunalen Da- 
tenschutzbeauftragten wahrgenommen. Diese Ansicht, 
die in den HEGA für den Rechtskreis SGB II als „Infor- 
mation“ des behördenintemen Mitarbeiterdatenschutzes 
in den gemeinsamen Einrichtungen und für den Rechts- 
kreis SGB III als „Weisung“ charakterisiert ist, entspricht 
nicht der Rechtslage. 
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Tatsächlich besteht keine Regelungslücke bei der Zustän- 
digkeit für den Mitarbeiterdatenschutz in den Jobcentem. 
Der behördeninteme Mitarbeiterdatenschutz in den ge- 
meinsamen Einrichtungen gehört zum Zuständigkeitsbe- 
reich der nach § 81 Absatz 4 SGB X i. V. m. §§ 4g und 4f 
BDSG benannten behördlichen Datenschutzbeauftragten 
(bDSB). 

Maßgeblich hierfür isf, dass die gemeinsame Einrichtung 
seit dem 1. Januar 2011 nach § 50 Absatz 2 SGB 11 selbst 
eine Stelle im Sinne des § 35 SGB 1 ist, d. h. ein dem So- 
zialgeheimnis verpflichteter Leistungsträger. Nach § 81 
Absatz 4 Satz 1 SGB X sind auf die in § 35 SGB 1 ge- 
nannten Stellen die §§ 4f, 4g BDSG entsprechend an- 
wendbar. Nach § 4g Absatz 1 Satz 1 BDSG wirkt der 
bDSB auf die Einhaltung des BDSG und anderer Vor- 
schriften über den Datenschutz hin. Dies gilt selbstver- 
ständlich auch für die Beachtung des § 32 BDSG. Diese 
Vorschrift regelt, neben weiteren diesen Bereich betref- 
fenden Vorschriften, die Datenerhebung, -Verarbeitung 
und -nutzung für Zwecke des Beschäftigungsverhältnis- 
ses. 

Auch aus der Gesetzesbegründung folgt, dass die gemein- 
same Einrichtung die inhaltliche Verantwortung für die 
durch sie vorgenommene Erhebung, Verarbeitung und 
Nutzung von personenbezogenen Daten bzw. Sozialdaten 
trägt. Damit wird der von der gemeinsamen Einrichtung 
zu verantwortende Datenschutz nicht auf die Sozialdaten 
der Kunden beschränkt, sondern auf sämtliche durch sie 
vorgenommene Erhebungen, Verarbeitungen und Nutzun- 
gen von personenbezogenen Daten und somit auch von 
Personal-ZBeschäftigtendaten erstreckt. 

Schließlich spiegelt sich diese Rechtslage auch in § 44d 
Absatz 4 SGB 11 wider. Die Vorschrift überträgt dem Ge- 
schäftsführer der gemeinsamen Einrichtung die Aus- 
übung der dienst-, personal- und arbeitsrechtlichen 
Befugnisse über die von den jeweiligen Trägem zugewie- 
senen Mitarbeiter und soll so die weitgehende Gleichbe- 
handlung des Personals sicherstellen. Diesem gesetzgebe- 
rischen Anliegen liefe es zuwider, die Kontrolle des 
Mitarbeiterdatenschutzes auf unterschiedliche Stellen zu 
übertragen. 

Die Zuständigkeit für den Personaldatenschutz verbleibt 
bei den entsendenden Dienststellen (BA, Kommunen) nur 
insoweit, als die Personalakten dort geführt werden und 
soweit Entscheidungen im Grandverhältnis getroffen 
werden. 

Ich habe diese Rechtsauffassung der BA sowie dem zu- 
ständigen Bundesministerium für Arbeit und Soziales 
mitgeteilt und hoffe auf eine baldige Klärung, da die Ver- 
unsicherung bei den Geschäftsführungen und bDSB in 
den gemeinsamen Einrichtungen groß ist. 

12.2 Arbeitsverwaltung, SGB III 

12.2.1 E-Akte der Bundesagentur für Arbeit 

Die BA stellt ihre Kundenakten von der Papierform auf 
elektronische Akten (E-Akte) um. Nach einer Überprü- 


fung vor Ort bestehen gegen die Einführung der E-Akte 
bei der BA keine grundlegenden Bedenken. 

Auch die BA stellt - wie viele andere Behörden (vgl. 
Nr. 3.2 f ) - ihre Akten von Papier auf elektronische Form 
um. Sie hat die Deutsche Post AG mit der Digitalisierung 
der Akten beauftragt. Die Deutsche Post AG hat ihrerseits 
einem ihrer Tochterunternehmen die Ausführung übertra- 
gen. Mit weiteren Firmen wurden Unterauftragsverhält- 
nisse begründet. Dass sich die BA grundsätzlich privater 
Dienstleister unter den Voraussetzungen des § 80 SGB X 
zur Erhebung, Verarbeitung oder Nutzung von Sozialda- 
ten im Auftrag bedienen kann, habe ich bereits in meinem 
23. TB (Nr. 11.5.3) ausgeführt. 

Anders als ursprünglich geplant wurden in dem Pilotpro- 
jekt in Sachsen-Anhalt und Thüringen zunächst nur die 
Akten für die Arbeitslosenversicherung (Arbeitslosen- 
geld 1) digitalisiert, während die Akten für die Familien- 
kassen zu einem späteren Zeitpunkt nachgezogen werden. 
Bei einem Beratungs- und Kontrollbesuch habe ich die 
Räumlichkeiten der Deutschen Post AG im Scanncenter 
DiBAS (Digitalisierung von BA-Schriftgut) in Halle/ 
Saale besucht und mir dabei insbesondere ein Bild von 
der Organisation sowie der technischen und personellen 
Ausstattung des Scanncenters gemacht. 

Dabei habe ich sämtliche Arbeitsabläufe des Digitalisie- 
rangsprozesses, beginnend mit dem Eingang der Post bis 
hin zur Weiterleitung der elektronischen Dokumente an 
die BA, überprüft. Daneben habe ich die Räumlichkeiten, 
die eingesetzte Technik und die eingerichteten Siche- 
rangsmaßnahmen kontrolliert. Ich konnte mich von der 
datenschutzgerechten Digitalisierung des Schriftguts 
überzeugen. Alle Prozessschritte werden durch organisa- 
torische und technische Maßnahmen nach dem neuesten 
Stand der Technik gegen Missbrauch, Manipulation, Ver- 
lust und Zerstörung geschützt. 

Besonderes Augenmerk habe ich auf die Mitarbeiter im 
Scanncenter gerichtet. Im Scanncenter DiBAS Halle wer- 
den je nach Aufgabenfeld sowohl Mitarbeiter der beauf- 
tragten Unternehmen als auch solche der BA eingesetzt. 
Das Signieren des digitalisierten Schriftguts wird aus- 
schließlich von BA-Mitarbeitera ausgeführt. Insoweit 
handelt es sich bei der Digitalisierung des Schriftguts 
nicht ausschließlich um Auftragsdatenverarbeitung, son- 
dern teilweise auch um Verarbeitung zu eigenen Zwecken 
durch die BA, was die zur Verarbeitung anvertrauten Da- 
ten zusätzlich schützt. 

Bei einzelnen Fragen ist die Diskussion mit der BA noch 
nicht beendet. Dies betrifft beispielsweise den Umfang 
der Stichproben, mit denen die inhaltliche und bildliche 
Übereinstimmung der Scaimprodukte mit den Originalen 
sichergestellt werden sollen. Elektronische Akten müssen 
ebenso wie Papierakten den Anforderungen an eine ord- 
nungsgemäße Aktenführang sowie der damit verbundenen 
Nachweisfunktion entsprechen. Daher ist die bildliche und 
inhaltliche Übereinstimmung der digitalen Repräsentatio- 
nen mit den Originaldokumenten nach § llOd SGB IV 
mit einer qualifizierten Signatur gemäß Signaturgesetz zu 
bestätigen. Die BA verwendet eine sog. Stapelsignatur. 
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Es wird nicht jedes einzelne Dokument auf seine Über- 
einstimmung hin überprüft, sondern nur Stichproben. In- 
wieweit dies den Anforderungen einer qualifizierten 
Signatur nach dem Signaturgesetz Rechnung trägt, ist 
zweifelhaft (vgl. Nr. 13.2). Diese Diskussion wird be- 
stimmt von der Entwicklung eines rechtssicheren erset- 
zenden Scannens. Hierfür erarbeitet das Bundesamt für 
Sicherheit in der Informationstechnik (BSl) derzeit eine 
technische Richtlinie (vgl. Nr. 3.2.2). ln diesem Zusam- 
menhang stellen sich dann auch weitere Fragen, bei- 
spielsweise die nach dem Umgang mit dem Schriftgut 
nach dem Scannen. 

Das Pilotprojekt wurde inzwischen abgeschlossen und 
eine bundesweite Einführung beschlossen. Bei der Um- 
setzung werde ich das Verfahren der Digitalisierung der 
Akten weiter kritisch begleiten und bei Bedarf einer 
Überprüfung vor Ort unterziehen. Ein besonderes Augen- 
merk werde ich dabei auf die beabsichtigte Ausweitung 
auf die Grundsicherung für Arbeitsuchende (Arbeitslo- 
sengeld 11) und die Familienkassen legen. 

12.2.2 Forschung und Planung in der 
Arbeitsverwaltung 

Die BA darf Sozialdaten an private Umfrage- und Mei- 
nungsforschungsinstitute ohne Einwilligung der Betroffe- 
nen weitergeben, soweit sie die gesetzlichen Vorgaben 
einhält. 

Für die Betroffenen ist es häufig schwer nachzuvollzie- 
hen, warum die BA ihre Sozialdaten, die sie zumeist aus 
einer Notlage heraus für die Prüfung des Anspruchs auf 
Sozialleistungen in deren Obhut gegeben haben, von die- 
ser an private Unternehmen weitergegeben werden. Sie 
gehen davon aus, der Schutz ihrer Sozialdaten sei durch 
das Sozialgeheimnis nach § 35 Absatz 1 Satz 1 SGB 1 ge- 
währleistet und eine Weitergabe ihrer Daten ohne Einwil- 
ligung stelle eine Verletzung ihrer Rechte dar. Vielen ist 
nicht bewusst, dass der Gesetzgeber neben ihrem Recht 
auf informationeile Selbstbestimmung weitere Grund- 
rechtspositionen berücksichtigen muss, wie etwa die For- 
schungsfreiheit nach Artikel 5 Absatz 3 Grundgesetz. 
Eine Verarbeitung oder Nutzung von Sozialdaten für die 
Zwecke der Forschung und Planung ist nach den Rege- 
lungen des Sozialgesetzbuchs auch ohne Einwilligung der 
Betroffenen möglich. Diese Einschränkung des Rechts 
auf informationeile Selbstbestimmung stellt allerdings 
eine Ausnahme dar, die an enge gesetzliche Vorausset- 
zungen gebunden ist. 

Um bewerten zu können, ob diese Datenweitergabe ohne 
Einwilligung der Betroffenen zulässig ist, müssen zu- 
nächst Forschung und Planung der BA selbst von der 
durch Dritte durchgeführten Forschungsvorhaben unter- 
schieden werden. Die Differenzierung kann für die Be- 
troffenen schwierig sein, zumal in beiden Fällen die Be- 
fragung durch externe Forschungsinstitute möglich ist. 
Hinzu kommt, dass bestimmte Forschungsgebiete für die 
BA gesefzlich vorgegeben sind und sie andere Vorhaben 
auf eigene Inifiative durchführen kann. Bei den eigenen 
Vorhaben kann sich die BA eines geeigneten Dritten im 
Rahmen der Auflragsdatenverarbeitung nach § 80 SGB X 


bedienen. Dabei hat sie sicherzustellen, dass beim Auf- 
tragnehmer die gleichen datenschutzrechtlichen Anforde- 
rungen erfüllt werden, die auch sie selbst zu erfüllen 
hätte. Der Umfang der Datenerhebung, -Verarbeitung 
oder -nutzung durch den Dritten ist bei der Auftragsertei- 
lung schriftlich festzuhalten. Das Institut, das den Auftrag 
durchführt, ist an die Vorgaben der BA gebunden. Es darf 
die erhaltenen Daten nicht für andere oder eigene Zwecke 
verwenden. 

Die Weitergabe der Daten an das Forschungsinstitut stellt 
im Rahmen der Auftragsdatenverarbeitung nach § 80 
SGB X keine Übermittlung von Sozialdaten dar, da die 
BA verantwortliche Stelle bleibt. Weil rechtlich keine 
Übermittlung erfolgt, kann auch keine Einwilligung für 
die Übermittlung eingeholt werden. Für die Frage der Zu- 
lässigkeit einer Telefonbefragung ist daher in diesen Fäl- 
len allein die Zulässigkeit der Datennutzung nach § 67b 
i. V. m. § 67c SGB X entscheidend. 

Bei Forschungsvorhaben von Dritten übermittelt die BA 
die erforderlichen Daten auf Grundlage des § 75 SGB X. 
§ 75 Absatz 1 SGB X sieht als Voraussetzung grundsätz- 
lich die vorherige Zustimmung (Einwilligung) der Betrof- 
fenen in die Übermittlung vor. Hiervon darf nur unter en- 
gen Voraussetzungen abgewichen werden. Die oberste 
Bundesbehörde, im Fall der BA das Bundesministerium 
für Arbeit und Soziales (BMAS), muss zudem der Über- 
mittlung nach § 75 Absatz 2 SGB X immer zustimmen. 

Weil im Rahmen telefonischer Anfragen in der Vergan- 
genheit Missbrauchsfälle vorgekommenen sind, unter- 
richten die Forschungsinstitute nun in der Regel die 
Betroffenen durch ein Ankündigungsschreiben von der 
erfolgten Datenübermittlung und der geplanten Befra- 
gung. ln einigen Fällen werden diese Informationen auch 
zu Beginn des Telefongesprächs mitgeteilt. Zudem äu- 
ßern sich die Mitarbeiter von seriösen Forschungsinstitu- 
ten bei einer telefonischen Befragung zu ihrem Auftrag- 
geber, zum Zweck der Befragung und zur Dauer der 
Datenspeicherung und rufen mit sichtbarer Rufnummer 
an, durch die ein Rückruf und der Erhalt weiterer Infor- 
mationen ermöglicht werden. 

Ich habe mehrere Eingaben zu Forschungsvorhaben des 
BMAS erhalten, bei denen Kontaktdaten (Name, An- 
schrift und Telefonnummer) von der BA an ein privates 
Forschungsinstitut übermittelt wurden. Meine Prüfung 
hat ergeben, dass in diesen Fällen auf eine Einwilligung 
der Betroffenen verzichtet werden konnte und die Weiter- 
gabe der Sozialdaten nach § 75 SGB X zulässig war. 

12.2.3 Gesundheitsdaten bei den Agenturen 
für Arbeit 

Bei den nötigen Feststellungen zu ihrer Gesundheit haben 
die Betroffenen mitzuwirken, die Einstellung der Leistun- 
gen kann aber nur das letzte Mittel sein. Nicht alle Streit- 
fragen konnten mit der BA geklärt werden. 

Die Fachkräfte der Agenturen für Arbeit haben neben den 
beruflichen Kenntnissen und Fähigkeiten auch gesund- 
heitliche Einschränkungen ihrer Kunden zu berücksich- 
tigen, die sich auf deren berufliche Eingliederung aus- 
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wirken. Bei Angaben zur Gesundheit handelt es sich um 
sensible persönliche Daten i. S. d. § 67 Absatz 12 
SGB X. Deshalb wundert es mich nicht, wenn sich viele 
Bürgerinnen und Bürger mit Fragen zum Umgang mit 
Gesundheitsdaten an mich wenden. 

Muss ich meine Ärzte von der Schweigepflicht 
enthinden? 

Bei der Erhebung von Gesundheitsdaten können Mitwir- 
kungspflichten der arbeitslos gemeldeten Personen beste- 
hen. Schwierig bleibt die Unterscheidung, wo die freiwil- 
lige Angabe durch die Betroffenen endet und wo die 
- sanktionierbare - Mitwirkungspflicht beginnt. 

Zu Fragen der Erhebung von und des weiteren Umgangs 
mit Gesundheitsdaten befinde ich mich daher im ständi- 
gen Dialog mit der BA. Neben Verbesserungen, die ich 
beispielsweise bei der Gestaltung der Schweigepflicht- 
sentbindungen (23. TB Nr. 11.5.4, dritter Spiegelstrich) 
erreichen konnte, bestehen nach wie vor unterschiedliche 
Auffassungen darüber, bis zu welchem Grad hierbei Be- 
troffene mitwirken müssen und welche Folgen eine feh- 
lende Mitwirkung auslöst. Zu meinen Ausführungen zur 
unrechtmäßigen Anforderung einer Schweigepflichtsent- 
bindung (20. TB Nr. 16.7.3) teilte mir die BA mit, die 
Abgabe einer Schweigepflichtsentbindung falle unter die 
Mitwirkungspflichten der §§ 60 ff. SGB 1. Käme ein Be- 
troffener dieser Pflicht nicht nach, könnten die Leistun- 
gen versagt oder entzogen werden (§ 66 Absatz 1 SGB 1). 

Ich stimme mit der BA darin überein, dass ihre Mitarbei- 
ter im erforderlichen Umfang Kenntnis über gesundheitli- 
che Einschränkungen der Betroffenen haben müssen. 
Wenn diese Auswirkungen auf die Vermittlung haben 
können, ist es Aufgabe der Agenturen für Arbeit festzu- 
stellen, worin die konkreten Einschränkungen bestehen 
und wie sich diese auf die Leistungsfähigkeit auswirken. 
Die Betroffenen sind dazu verpflichtet, bei der Aufklä- 
rung des Sachverhaltes mitzuwirken (§§ 60 bis 62 
SGB 1). 

Allerdings teile ich nicht die Auffassung der BA, bereits 
die fehlende Erteilung einer Schweigepflichtsentbindung 
berechtige sie dazu, die Leistungen einzustellen. Die Ent- 
bindung der Ärzte von der Schweigepflicht ist nicht der 
einzige Weg, um den Sachverhalt aufzuklären. Die BA 
kann den vom Betroffenen ausgefüllten Gesundheitsfra- 
gebogen und eingereichte Befimdunterlagen durch den ei- 
genen Ärztlichen Dienst auswerten lassen oder eine per- 
sönliche Meldung des Betroffenen zu einer Untersuchung 
beim Ärztlichen Dienst anordnen. Bevor die Agentur die 
Leistungen versagt oder entzieht, sind daher die weiteren 
Ermittlungsmöglichkeiten auszuschöpfen. Eine Entzie- 
hung oder Versagung der Leistungen allein aufgrund ei- 
ner nichterteilten Schweigepflichtsentbindung würde 
einen unverhältnismäßigen Eingriff in das Recht auf in- 
formationeile Selbstbestimmung darstellen, wenn der Be- 
troffene bereit ist, auf andere Weise mitzuwirken. 

Meine Rechtsauffassung habe ich der BA mitgeteilt. Ihre 
Antwort auf mein letztes Schreiben lag bei Redaktions- 
schluss noch nicht vor. Ich erwarte aber, dass die BA 


meine Rechtsauffassung bei ihren Entscheidungen über 
die Entziehungen von Leistungen nach § 66 SGB 1 künf- 
tig berücksichtigt, und werde dies gegebenenfalls vor Ort 
kontrollieren. 

Darf mein Arbeitsvermittler die Unterlagen für den 
Ärztlichen Dienst lesen? 

Der „Praxisleitfaden zur Einschaltung des Ärztlichen 
Dienstes im Bereich des SGB 11 und SGB 111“ der BA re- 
gelt, dass Gesundheitsunterlagen im verschlossenen Um- 
schlag einzureichen sind. Gleichwohl erreichen mich 
immer wieder Beschwerden, verschlossen übergebene 
Unterlagen würden von den Fachkräften ohne Einwilli- 
gung der Betroffenen geöffnet und eingesehen. 

Die in den Agenturen für Arbeit tätigen Fachkräfte sind 
nicht dafür ausgebildet, medizinische Unterlagen auszu- 
werten. Dies ist Aufgabe des Fachpersonals des Ärztli- 
chen Dienstes. Die BA hat in diesen Fällen einen Verstoß 
eingeräumt. Ich hoffe, die Mitarbeiter der BA werden 
aufgrund der Bürgereingaben weiter dahingehend sensi- 
bilisiert, dass für den Ärztlichen Dienst eingereichte Un- 
terlagen sensible Daten enthalten, die nicht in die Hände 
der Arbeitsvermittler gehören. 

12.2.4 Einzelfälle 

- Die BA verlangt fiir die Zulassung als Maßnahmeträ- 
ger die Übermittlung personenbezogener Daten der 
Lehrkräfie. 

Ein Mitarbeiter eines Unternehmens, das Maßnahmen zur 
Arbeitsförderung im Sinne des SGB 111 anbietet, machte 
mich auf die Praxis der BA aufmerksam, im Rahmen des 
Zulassungsverfahrens personenbezogene Daten der Lehr- 
kräfte abzufragen. Nachdem die BA bisher 13 Angaben 
zu den Lehrkräften angefordert hatte, werden - nach BA- 
intemer Überprüfung des Datenkatalogs - nunmehr nur 
noch sieben Punkte abgefragt (Name und Vorname, Ge- 
burtsdatum, Einsatz als . . ., Qualifikation für den vorgese- 
henen Einsatz, Zeitstunden in der Maßnahme, Anstel- 
lungsverhältnis, Einsatz in weiteren Maßnahmen). Diese 
Reduzierung begrüße ich. 

Die BA darf diese Daten nach §§ 176 ff. SGB 111 i. V. m. 
der Akkreditierungs- und Zulassungsverordnung Arbeits- 
fÖrderung erheben. Die Kenntnis dieser Daten ist erfor- 
derlich, um eine ordnungsgemäße Maßnahmedurchfüh- 
rung durch entsprechend geeignetes und qualifiziertes 
Personal zu gewährleisten. Bezüglich der Speicher- und 
Löschfristen stehe ich in Kontakt mit der BA. 

- Inkassostelle einer Regionaldirektion der BA versen- 
det Ratenzahlungsvereinbarung und Mahnung an un- 
beteiligten Dritten. 

Ein Petent hatte von der Inkassostelle einer Regionaldi- 
rektion der BA eine Ratenzahlungsvereinbarung und eine 
Mahnung über eine Forderung erhalten, die gegen eine 
andere Person gerichtet war. Diese hatte zwar den glei- 
chen Vornamen, Nachnamen und Geburtstag, jedoch 
einen anderen Geburtsort. Aufgrund der Verwechslung 
erhielt der Petent neben eigenen Sozialdaten unzulässi- 
gerweise auch Daten zu einer anderen Person. 
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Die BA, die als übermittelnde Stelle die Verantwortung 
für die Zulässigkeit der Übermittlung von Sozialdaten 
trägt (§ 67d Absatz 2 SGB X), räumte die Personenver- 
wechslung ein. Um solche Fälle zu vermeiden, erfolge die 
Anschriftenermittlung grundsätzlich über die Kunden- 
bzw. Rentenversicherungsnummer sowie durch Abgleich 
des gespeicherten Geburtsorts. Dies sei im konkreten Ein- 
zelfall nicht geschehen. Bei der Aufenthaltsermittlung sei 
es für unwahrscheinlich gehalten worden, dass es mehr 
als eine Person mit dem nicht alltäglichen Nachnamen 
des Petenten gebe, die auch noch den gleichen Vornamen 
und Geburtstag habe. Die Inkassostelle habe den Petenten 
aufgefordert, die irrtümlich erhaltenen Schreiben als ge- 
genstandslos zu betrachten. Ich habe ihm zusätzlich emp- 
fohlen, diese entweder zu vernichten oder an die Inkasso- 
stelle zurückzusenden. 

Wie die BA mir mitteilte, aktualisiere sich seit Einfüh- 
rung der Finanzanwendung ERP (Software „Enterprise- 
Resource-Planning“ der Firma SAP) im Januar 20 11 die 
Kundenanschrift bei seitdem angelegten Neufällen auto- 
matisiert. Im vorliegenden Fall habe es sich aber um ei- 
nen Altfall gehandelt, der eine manuelle Bearbeitung der 
Anschriftenaktualisierung erfordert habe. Ich beabsich- 
tige, die automatisierte Aktualisierung von Kundenan- 
schriften über die neu eingeführte Finanzanwendung ERP 
im Rahmen einer Kontrolle bei der BA zu prüfen. 

- Die Zentrale Auslands- und Fachvermittlung (ZAV) 
der BA hatte eine vollständig ausgefüllte und unter- 
schriebene Datenschutzerklärung als zwingende Vo- 
raussetzung einer Künstlervermittlung angefordert, 
ohne auf die Freiwilligkeit und den Verwendungs- 
zweck von zum Teil sensiblen Angaben hinzuweisen. 

Die BA begründete ihr Vorgehen damit, die Datenschutz- 
erklärung beruhe auf den Vorgaben der §§ 67 ff. SGB X 
und eine Weitergabe von Sozialdaten bedürfe der Einwil- 
ligung des Betroffenen (§ 67c Absatz 2 Satz 1 Nummer 2 
SGB X). Neben Merkmalen wie Augenfarbe, Haarfarbe 
oder Körpergröße würde im Falle der Einwilligung auch 
die Angabe „ethnische Zugehörigkeit“ der Künstler als 
besonders sensibles Datum i. S. d. § 67 Absatz 12 i. V. m. 
§ 67a Absatz 1 SGB X erhoben, falls dessen Kenntnis im 
Einzelfall für die Vermittlungsarbeit erforderlich sei 
(Sparten Schauspiel, Film, Oper). Zudem seien diese Da- 
ten in der Vermittlungsdatenbank VerBlS der BA nur für 
die Mitarbeiter der ZAV-Künstlervermittlung einsehbar. 

Die Datenschutzerklärung wurde aufgrund meiner Nach- 
frage datenschutzfreundlich umformuliert. Durch die 
Neufassung wird für die Betroffenen klar, dass die An- 
gabe der Daten freiwillig isf, bei fehlenden Daten die Ver- 
mittlung in den gewünschten künstlerischen Beruf aber 
erschwert sein kann. 

13 Beschäftigtendatenschutz 

13.1 Beschäftigtendatenschutzgesetz - eine 

Hängepartie 

Noch immer fehlt die seit langem überfällige gesetzliche 
Ausgestaltung des Beschäftigtendatenschutzes. Auf euro- 
päischer Ebene bringt der Kommissionsentwurf einer Da- 
tenschutz-Grundverordnung Bewegung in die Thematik. 


Die Bundesregierung hat bereits im Sommer 2010 den Ent- 
wurf eines Beschäftigtendatenschutzgesetzes vorgelegt 
(vgl. 23. TB Nr. 12.1). Die vorgeschlagenen Regelungen 
sollten den aufgrund von Datenschutzskandalen 2009 ein- 
geführten § 32 BDSG ersetzen, der den Umgang mit Be- 
schäfligtendaten nur lückenhaft regelt. Der Regierungsent- 
wurf war sicher weit davon entfernt, das Recht der 
Beschäftigten auf informationelle Selbstbestimmung im 
Beschäftigtenverhältnis zu stärken. Andererseits ist auch 
der derzeitige Rechtszustand alles andere als optimal. § 32 
BDSG bleibt als Grundsatzregelung recht unbestimmt. 
Seine Konkretisierung, etwa im Hinblick auf die Zulässig- 
keit der heimlichen oder offenen Videoüberwachung oder 
des zulässigen Umfangs von Screeningmaßnahmen, ist 
sehr wünschenswert. 

Trotz vieler Kritikpunkte an dem Gesetzentwurf hatte ich 
die Hoffnung, dass in konstruktiver Diskussion die not- 
wendigen Verbesserungen in den Entwurf Eingang finden 
und das Gesetzgebungsverfahren zu einem für den Be- 
schäftigtendatenschufz positiven Abschluss kommen 
würde. Auch die Konferenz der Datenschutzbeauftragten 
des Bundes und der Länder hat mit ihrer Entschließung 
vom 1 6. /1 7. März 2011 die Notwendigkeit bekräftigt, 
„durch umfassende allgemeingültige Regelungen für den 
Datenschutz am Arbeitsplatz mehr Rechtssicherheit zu 
erreichen und bestehende Schutzlücken zu schließen“ 
(vgl. Kasten a zu Nr. 13.1). 

Diese Hoffnungen wurden aber weitgehend enttäuscht. 
Die letzte offizielle Befassung des Irmenausschusses des 
Deutschen Bundestages durch eine Sachverständigenan- 
hörung liegt lange zurück - sie fand am 23. Mai 2011 
statt. Die von den Regierungsfraktionen Anfang Januar 
2013 schließlich dem Innenausschuss vorgelegten Ände- 
rungsvorschläge waren enttäuschend. Nicht nur die Da- 
tenschutzkonferenz setzte sich damit in ihrer Entschlie- 
ßung vom 25. Januar 2013 kritisch auseinander (vgl. 
Kasten b zu Nr. 13.1). Nachdem auch Gewerkschaften 
und Arbeitgeberverbände zum Teil sehr heftig dagegen 
protestierten, nahmen die Koalitionsfraktionen das Be- 
schäftigtendatenschutzgesetz wieder von der Agenda des 
Innenausschusses. Mittlerweile haben die Koalitionsfrak- 
tionen entschieden, den Gesetzentwurf in dieser Legisla- 
turperiode überhaupt nicht mehr zu beraten, so dass die- 
ser endgültig gescheitert ist. Ich hoffe sehr, dass sich der 
Gesetzgeber in der nächsten Legislaturperiode wieder 
und diesmal erfolgreich mit einem Beschäftigtendaten- 
schutzgesetz befasst, das seinen Namen zu Recht trägt. 

Wichtige Impulse für den Beschäftigtendatenschutz könn- 
ten eigentlich von dem diskutierten Entwurf einer Daten- 
schutz-Grundverordnung (vgl. Nr. 2.1.1) ausgehen. Das 
dabei verfolgte Ziel eines hohen gemeinsamen Daten- 
schutzniveaus in der gesamten Europäischen Union ist an 
und für sich erfreulich. Der Beschäftigtendatenschutz fin- 
det aber in dem Kommissionsentwurf nur wenig Platz, so 
dass auch hier weitreichender Verbesserungsbedarf besteht. 

Es bleibt also dabei, dass es in Sachen Beschäftigtenda- 
tenschutz zwar viele Fragen, aber nur wenige befriedi- 
gende Antworten gibt. 
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Kasten a zu Nr. 13.1 


Entschließung der 81. Konferenz der Datenschutzbeauftragten des Bundes und der Länder 
am 16./17. März 2011 

Beschäftigtendatenschutz stärken statt abbauen 

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder bekräftigt die Notwendigkeit, durch umfas- 
sende allgemein gültige Regelungen für den Datenschutz am Arbeitsplatz mehr Rechtssicherheit zu erreichen und be- 
stehende Schutzlücken zu schließen. Dieser Ansatz erfordert klare gesetzliche Begrenzungen der Erhebung, Verarbei- 
tung und Nutzung von Beschäftigtendaten. Die Bundesregierung und die Bundestagsfraktionen der SPD und von 
BÜNDNIS 90/DlE GRÜNEN haben hierzu Gesetzentwürfe vorgelegt. 

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder appelliert an den Deutschen Bundestag, bei 
den Beratungen über Regelungen des Beschäftigtendatenschutzes insbesondere folgende notwendige Anforderungen 
sicherzustellen: 

- Im Bewerbungsverfahren und im Beschäftigungsverhältnis 

- ist die Erforderlichkeit von Eignungstests und medizinischen Untersuchungen vor der Durchführung der jewei- 
ligen Maßnahme zu dokumentieren, 

- sind Datenerhebungen nur zulässig, wenn und soweit diese Daten wegen der Art und der Ausübung der Tätig- 
keit oder der Bedingung ihrer Ausübung unabdingbar sind und entscheidende berufliche Anforderungen oder 
Hindernisse darstellen, 

- sind Eignungstests ausschließlich zulässig, wenn sie auf einer wissenschaftlichen Methode beruhen. 

- Arbeitgeber müssen verpflichtet werden, Bewerber so früh wie möglich umfassend über die Datenerhebung aus 
allgemein zugänglichen Quellen (z. B. im Internet) und bei Dritten zu unterrichten. 

- Zur Aufdeckung von Straftaten und ähnlich schwerwiegenden Pflichtverletzungen dürfen Beschäftigtendaten nur 
oberhalb normenklarer und verhältnismäßiger Einschreitschwellen erhoben und verwendet werden. Arbeitgeber 
dürfen dabei - insbesondere verdeckte - Überwachungsmaßnahmen nur ergreifen, wenn zu dokumentierende Tat- 
sachen vorliegen. Mit Blick auf rechtsstaatliche Anforderungen ist die Grenze zwischen eigenverantwortlichen 
Recherchen des Arbeitgebers und der den Strafverfolgungsbehörden vorbehaltenen Aufgaben eindeutig zu be- 
stimmen. Aus präventiven Gründen ist eine verdeckte Datenerhebung unzulässig. 

- Insbesondere bezüglich der Durchführung von Screening- Verfahren sind klare materielle Kriterien - z. B. Prüfung 
der Verhältnismäßigkeif, Vorliegen von fatsächlichen Hinweisen auf Unregelmäßigkeifen - erforderlich. Zudem soll- 
ten Arbeitgeber verpflichtet sein, die näheren Umstände, die den Abgleich veranlassen, vorab zu dokumentieren. 

- Die an verschiedenen Stellen im Gesetzentwurf der Bundesregierung vorgesehenen Regelungen zur Verhaltens- 
und Leistungskontrolle sind nach wie vor zu weitgehend. Der Gesetzgeber muss hier strenge Voraussetzungen 
vorgeben. Die Konferenz weist auf die gefestigte verfassungsrechtliche Rechtsprechung zum unzumutbaren Über- 
wachungsdruck hin. 

- Die Konferenz der Datenschutzbeauftragten fordert, die offene Videoüberwachung stärker zu begrenzen und ins- 
besondere 

- zu verbieten, die z. B. bei der Qualitätskontrolle anfallenden Daten zur Verhaltens- und Leistungskontrolle zu 
nutzen. 

- für Bereiche zu untersagen, die nicht nur „überwiegend“, sondern auch der privaten Nutzung dienen. 

- Das Petitionsrecht darf nicht beschränkt werden. Beschäftigte müssen sich jederzeit an die zuständige Daten- 
schutzaufsichtsbehörde wenden können, ohne deswegen benachteiligt oder gemaßregelt zu werden. 

- ln gesetzliche Regelungen zum Beschäftigtendatenschutz sind darüber hinaus Bestimmungen aufzunehmen 

- zur Personalaktenführung - einschließlich der automatisierten Personalaktenführung, 

- zur privaten Nutzung von Telekommunikationsdiensten, 

- zum Thema Whistleblowing, 

- zum Bereich der Videoüberwachung im öffentlich zugänglichen Bereich, bei denen Beschäftigtendaten mit an- 
fallen, 

- zum Beweisverwertungsverbot bei unzulässiger Datenerhebung und -Verwendung, 

- zum Konzemdatenschutz unter Berücksichtigung des internationalen Datenverkehrs. 
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Kasten b zu Nr. 13.1 


Entschließung der Konferenz der Datenschutzbeauftragten des Bundes und der Länder 
am 25. Januar 2013 

Beschäftigtendatenschutz nicht abbauen, sondern stärken! 

Die Konferenz der Datenschutzbeauflragten des Bundes und der Länder erinnert an ihre Entschließung vom 16./17. März 
2011 und ihre Forderung nach speziellen Regelungen zum Beschäftigtendatenschutz. Bei einer Gesamtbetrachtung 
ist die Konferenz enttäuscht von dem jetzt veröffentlichten Änderungsentwurf der Koalitionsfraktionen. 

Bereits der ursprünglich von der Bundesregierung vorgelegte Entwurf enthielt aus Datenschutzsicht erhebliche Män- 
gel. Der nun vorgelegte Änderungsentwurf nimmt zwar einzelne Forderungen - etwa zum Konzemdatenschutz - auf 
und stärkt das informationelle Selbstbestimmungsrecht auch gegenüber Tarifverträgen und Betriebsvereinbarungen. 
Das Datenschutzniveau für die Beschäftigten soll jedoch in einigen wesentlichen Bereichen sogar noch weiter abge- 
senkt werden. 

Besonders bedenklich sind die folgenden Regelungsvorschläge: 

- Die Möglichkeiten der offenen Videoüberwachung am Arbeitsplatz sollen noch über das bisher Geplante hinaus 
ausgeweitet werden. Überdies ist die Beschreibung der zuzulassenden Überwachungszwecke unverständlich und 
würde deshalb nicht zur Rechtssicherheit beitragen. 

- Beschäftigte in Call-Centem sollen noch stärker überwacht werden können, als dies der Regierungs ent wurf ohne- 
hin schon vorsah. Die Beschäftigten müssen sich nunmehr auf eine jederzeit mögliche, unbemerkte Überwachung 
einstellen. Hierdurch kann ein unzumutbarer Überwachungsdruck entstehen. 

- Die Datenerhebungsbefugnisse im Bewerbungsverfahren sollen erweitert werden. Der noch im Regierungsent- 
wurf vorgesehene Ausschluss von Arbeitgeberrecherchen über Bewerberinnen und Bewerber in sozialen Netz- 
werken außerhalb spezieller Bewerbungsportale wurde gestrichen. Damit wird der Grundsatz der Direkterhebung 
bei den Betroffenen weiter unterlaufen. 

- Dem Arbeitgeber soll es gestattet sein, auch nicht allgemein zugängliche Beschäftigtendaten bei Dritten zu erhe- 
ben, wenn die Beschäftigten eingewilligt haben. Die tatsächliche Freiwilligkeit einer solchen Einwilligung ist 
fraglich. 

- Die im Regierungsentwurf enthaltene Vorgabe, Eignungstests grundsätzlich nach wissenschaftlich anerkannten 
Methoden durchzuführen, soll wieder entfallen. 

Die Konferenz appelliert an den Bundestag, bei seinen Beratungen zum Gesetz den Forderungen der Datenschutzbe- 
auftragten Rechnung zu tragen. 


13.2 Automatisierte Personaidaten- 
verarbeitung: Beratungen und 
Entwickiungen in der Bundesverwaitung 

Die Bundesverwaltung setzt weiterhin verstärkt auf auto- 
matisierte Verfahren der Personaldatenverarbeitung. Bei 
deren Projektierung ist eine frühestmögliche Berücksich- 
tigung von Datenschutzaspekten unverzichtbar. 

In vielen Bereichen des Personalwesens ist eine weitere 
Ablösung des manuellen Umgangs mit Beschäftigtenda- 
ten durch den Einsatz automatisierter Verfahren erkenn- 
bar. Zahlreiche Bundesministerien und -behörden wollen 
neue Verfahren der automatisierten Personaldatenverar- 
beitung einführen oder bereits bestehende Systeme durch 
dem aktuellen Stand der Technik entsprechende neue Ver- 
fahren ersetzen. Dies betrifft Großverfahren wie Perso- 
nalinformations- und Personalverwaltungssysteme, sons- 
tige automatisierte/technikunterstützte Abläufe in vielen 
Bereichen des Personalwesens (z. B. Bewerbungs- oder 
Beihilfeverfahren), aber auch die Einführung elektroni- 
scher Personalakten (vgl. Nr. 13.3, 3.2.1). 


Wegen der bestehenden Risiken für die Persönlichkeits- 
rechte der Beschäftigten müssen die datenschutzrechtli- 
chen Vorgaben zum automatisierten Umgang mit Be- 
schäftigtendaten schon bei der Planung und Entwicklung 
solcher Verfahren frühzeitig berücksichtigt werden. Alle 
Datenschutzaspekte sollten von vomeherein in die Ge- 
samtkonzeption eines solchen Projektes einfließen. Nur 
so lassen sich später ein datenschutzkonformer Praxisbe- 
trieb gewährleisten und zeit- und kostenaufwendige Um- 
planungen vermeiden. 

Im Berichtszeitraum habe ich zahlreiche öffentliche Stel- 
len des Bundes, aber auch deren Personalvertretungen, 
bei solchen Planungen beraten, wobei meine Beteiligung 
in vielen Fällen noch andauert (vgl. Kasten zu Nr. 13.2). 
Hierbei zeigten sich ausnahmslos alle Bundesbehörden 
den Belangen des Datenschutzes beim automatisierten 
Umgang mit Beschäftigtendaten gegenüber sehr aufge- 
schlossen. 

Immer wieder auftretende Fragestellungen/Themen sind 
hierbei z. B.: 
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- die Abgrenzung, ob es sich um eine Datenverarbei- 
tung im Auftrag nach § 11 BDSG oder um eine Funk- 
tionsübertragung handelt, 

- die Reichweite von Zugriffsrechten und Auswertungs- 
möglichkeiten, 

- die Umsetzung der Grundsätze der Datenvermeidung 
und Datensparsamkeit, 

- die Sicherstellung der Auskunfts- und Einsichtsrechte 
der Betroffenen, 

- der Inhalt von Freitextfeldem, 

- die nach § 9 BDSG und dessen Anlage zu treffenden 
erforderlichen technischen und organisatorischen 
Maßnahmen zum Schutze der Beschäftigtendaten, 

- die Regelungen von Dienstvereinbarungen, 

- der Umfang der Kontrollrechte und Handlungsmög- 
lichkeiten des internen Beauftragten für den Daten- 
schutz, 

- insbesondere jedoch die (technische/physikalische) 
Umsetzung der gesetzlichen Aufbewahrungs-/Lö- 
schungsvorschriften von Beschäftigtendaten (z. B. 
nach den §§ 106 ff. BBG) im Praxisbetrieb. 

Wie ich bei Kontrollen (vgl. Nr. 13.4) feststellte, ist es 
wichtig, dass alle erforderlichen datenschutzrechtlich re- 
levanten Maßnahmen nicht nur bei zentralen Personalin- 
formations- und Personalverwaltungsverfahren umgesetzt 
werden, sondern auch bei solchen Verfahren, die aus 
Sicht der Behörde geringere Bedeutung haben, insbeson- 
dere bei der dezentralen Verarbeitung von Personaldaten. 

Bei meinen Beratungen nimmt die datenschutzkonforme 
Einführung und Führung von elektronischen Personalak- 
ten zunehmenden Raum ein. Diese Entwicklung steht 
zwar erst am Anfang. Ich gehe aber davon aus, dass die 
öffentlichen Stellen (nicht nur) des Bundes von der ge- 
setzlichen Möglichkeit, Personalakten vollständig oder in 
Teilen automatisiert („elektronisch“) zu führen, in abseh- 
barer Zukunft verstärkt Gebrauch machen werden. 

Im Rahmen meiner Beratungen weise ich die Bundesbe- 
hörden u. a. auf die nach wie vor aktuellen Handlungs- 
empfehlungen hin, die die Konferenz der Datenschutzbe- 
auftragten des Bundes und der Länder zum Datenschutz 
bei technikunterstützten Verfahren der Personal- und 
Haushaltsbewirtschaflung erarbeitet hat und die ich im 
Kern in meinem 21. TB dargestellt habe (vgl. 21. TB 
Kasten zu Nr. 14.3). 

Wie wichtig eine frühzeitige datenschutzrechtliche Bera- 
tung im Zusammenhang mit der automatisierten Perso- 
naldatenverarbeitung ist, zeigen einmal mehr die großen 
datenschutzrechtlichen Mängel und Rechtsverstöße im 
Umgang mit Beschäftigtendaten, die ich im Berichtszeit- 
raum bei meinen stichprobenartigen Beratungs- und Kon- 
trollbesuchen bei Bundesbehörden feststellen und auch 
förmlich beanstanden musste (vgl. Nr. 13.4). Ich werde 
die Entwicklung weiter beobachten und die öffentlichen 
Stellen des Bundes hierbei im Rahmen meiner Beratungs- 
aufgabe auch zukünftig unterstützen. 


Kasten zu Nr. 13.2 


Automatisierte Personaldatenverarbeitung: 
Beratungen 

Im Berichtszeitraum hat mich das BMF beratend in 
seine Planungen zur Einführung des „Einheitlichen Per- 
sonalverwaltungssystems in der Bundesfinanzverwal- 
tung (PVS)“ eingebunden. Gleiches gilt für das AA zum 
dortigen „Integrierten Personalverwaltungs- und Orga- 
nisationsmanagementsystem IPOS“ (PVS-AA). Das 
BMI habe ich weiterhin bei seinen Planungen zum Auf- 
und Ausbau von Dienstleistungszentren zum Umgang 
mit Beschäftigtendaten beraten (vgl. 23. TB Nr. 12.5), 
aber auch bei Erstellung und Abschluss einer neuen 
Rahmendienstvereinbarung mit seinem Hauptpersonal- 
rat (HPR) über die automatisierte Verarbeitung personen- 
bezogener Daten mit dem elektronischen Personal-, Orga- 
nisations- und Stellenmanagement-System „EPOS 2.0“. 
Ferner unterstütze ich derzeit die DTAG sowohl bei den 
elektronischen Personalakten als auch bei der Umset- 
zung ihres Projektes „Datenschutzkonformes Löschen“ 
personenbezogener Daten ihrer beamteten Beschäftig- 
ten im Personalverwaltungssystem. Schließlich berate 
ich das BMVBS im neuen Projekt eines „Elektronischen 
Bewerbungsverfahrens“, ebenso das BMF und das 
BADV bei den aktuellen Planungen zum Projekt „elek- 
tronische Beihilfe - eBiV“. 


13.3 Entwicklungen bei der elektronischen 
Personalakte 

Einführung elektronischer Personalakten - zwei Fallbei- 
spiele. Was bei der Telekom geht, muss auch bei der DRV 
Bund möglich sein. 

Mit dem Dienstrechtsneuordnungsgesetz vom 5. Februar 
2009 (BGBl. 1 S. 160 - vgl. 21. TB Nr. 14.2 sowie 22. TB 
Nr. 16.15) wurde die Möglichkeit geschaffen, Personal- 
akten der Bundesbeamtinnen und -beamten in Teilen oder 
vollständig automatisiert („elektronisch“) zu führen 
(§ 106 Absafz 1 Safz 3 Bundesbeamtengesefz - BBG). 
Bei der datenschufzgerechten Führung von elektroni- 
schen Personalakten in der Bundesverwaltung müssen die 
Authentizität und die Integrität der darin eingescannten 
Dokumente durch vollständige Sichtprüfung und eine 
qualifizierte digitale Signatur nach dem Signaturgesetz 
(SigG) gewährleistet werden (vgl. 23. TB Nr. 12.3, 5.5). 

Die DRV Bund hat mich über die Bedingungen eines Pilot- 
verfahrens zur Einführung einer elektronischen Personal- 
akte informiert. Hierbei war u. a. vorgesehen, die in Papier- 
form vorliegenden Personalaktendaten der Beschäftigten 
einer Abteilung einzuscannen und vor dem Anbringen ei- 
ner Signatur stichprobenartig die (nach Zufallsauswahl 
durch das System) bis zum Erreichen der 2-Prozent-Quote 
notwendige Anzahl an Dokumenten per Sicht zu prüfen. 
Anschließend sollen aber - sofern die wenigen digitali- 
sierten Dokumente, deren Sichtprüfung erzwungen 
wurde, als lesbar und beanstandungsfrei besfäfigt werden - 
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alle Dokumente des Stapels eine qualifizierte elektroni- 
sche Signatur erhalten. Zur QualitätssicherungZ-kontrolle 
will die DRV Bund in diesem Testverfahren anschließend 
nochmals alle Papierdokumente mit ihren digitalen Ab- 
bildern vergleichen, dies dokumentieren und auf dieser 
Basis (Abgleich von Stichproben- und vollständiger 
Sichtprüfung) die Frage der hinreichenden Sicherheit des 
Verfahrens bewerten. 

Um eine hinreichend sichere und vollständige Digitalisie- 
rung der Personalakten zu gewährleisten, reicht aus 
meiner Sicht eine lediglich 2-Prozent-Sichtprüfung der 
eingescannten Dokumente nicht aus, um anschließend 
eine qualifizierte elektronische Signatur nach dem Signa- 
turgesetz für alle Dokumente anzubringen. Mit dieser 
technischen Begrenzung kann z. B. ein Mitarbeiter nicht 
mehr selbständig bestimmen, ob er mehr oder gar alle 
Dokumente vergleicht. Er wird im Zweifel zur Unter- 
schrift/qualifizierten Signatur verpflichtet. 

Im Dezember 2012 hat mich die DRV Bund informiert, 
sie habe mit ausdrücklicher Zustimmung des BMAS test- 
weise mit der Einführung elektronischer Personalakten 
begonnen. Die derzeit nach dem Scannen durchgeführte 
lOOprozentige- Sichtprüfung diene der Ermittlung der 
Fehlerquote. Damit ist zumindest in diesem Pilotverfah- 
ren eine lOOprozentige- Sichtprüfung und damit eine si- 
chere und vollständige Digitalisierung der ausgewählten 
Personalakten gewährleistet. Die DRV Bund hat zuge- 
sagt, mich nach Beendigung des Testverfahrens erneut zu 
beteiligen. Hierbei werde ich auch auf die nachfolgend 
dargestellten positiven Ergebnisse meiner entsprechenden 
Beratung der Deutschen Telekom AG (DTAG) hinwei- 
sen. 

Bei der DTAG werden die Personalakten aller Beschäf- 
tigten bereits seit einigen Jahren elektronisch (bisher je- 
doch ohne eine Signatur der Dokumente) geführt, die der 
Beamtinnen und Beamten bisher ausnahmsweise zusätz- 
lich parallel noch in Papierform. Im Berichtszeitraum 
habe ich die DTAG im Zusammenhang mit den elektroni- 
schen Personalakten der dort beschäftigten Beamtinnen 
und Beamten bei der vollständigen Umsetzung der ge- 
setzlichen Vorgaben des Dienstrechtsneuordnungsgeset- 
zes zur Führung elektronischer Personalakten beraten. 
Dabei habe ich der DTAG insbesondere empfohlen, alle 
in den automatisiert geführten Teilen der Personalakten 
gespeicherten Dokumente mit einer qualifizierten Signa- 
tur nach dem SigG zu versehen. Meine früheren Vor- 
schläge (vgl. 23. TB Nr. 12.3, 5.5, Zusammenfassungen 
aller Empfehlungen) hat die DTAG bereits zum größten 
Teil umgesetzt. Sie hat mir ferner ausdrücklich zugesi- 
chert, nach Prüfung ausnahmslos aller Dokumente der 
elektronischen Personalakten ihrer beamteten Beschäftig- 
ten diese nach einem mit mir abgestimmten Konzept mit 
einer qualifizierten elektronischen Signatur nach dem 
SigG zu versehen und im Anschluss die entsprechenden 
Papierunterlagen datenschutzkonform zu vernichten. Ich 
begrüße ausdrücklich, dass die DTAG bei allen Doku- 
menten, sowohl den bereits in den elektronischen Perso- 
nalakten eingescannten/gespeicherten ca. 22 Millionen 
Dokumente, als auch zukünftig bei neuen Personalakfen- 


daten, eine vollsfändige Sichtprüfung durchgeführt hat 
bzw. durchführen und anschließend die Dokumente quali- 
fiziert signieren wird. 

Meine datenschutzrechtlichen Hinweise sind auch in die 
am 1. Dezember 2011 in Kraft getretene Personalakten- 
richtlinie für die bei der DTAG beschäftigten Beamtinnen 
und Beamte eingefiossen, die der neuen Rechtslage nach 
dem Dienstrechtsneuordnungsgesetz angepasst worden 
ist. Danach werden die Personalakten der Beamtinnen 
und Beamten als Hybridakten - die Grundakte automati- 
siert sowie bestimmte Teilakten weiterhin in Schriftform - 
geführt. Das Recht auf Einsicht in die vollständige Perso- 
nalakte nach § 110 Absatz 1 BBG ist sichergestellt, die 
Aufbewahrungs-ZLöschungsfristen in der elektronischen 
Personalakte der beamteten Beschäftigten entsprechen 
den Vorgaben des Bundesbeamtengesetzes. Die Löschung 
von elektronischen Dokumenten wird derzeit durch die 
Aufhebung von Verknüpfungen zum Archiv realisiert. 
Das von der DTAG erstellte, von mir empfohlene Kon- 
zept zur physikalischen Löschung der Dokumente im Ar- 
chiv wird die DTAG im 2. Quartal 2013 umsetzen. 

Bezüglich der elektronischen Personalakten ihrer Tarifbe- 
schäftigten steht die DTAG auf meine Anregung hin in 
Kontakt mit dem hierfür zuständigen Landesbeauflragten 
für Datenschufz und Informationsfreiheit Nordrhein- 
Westfalen. 

13.4 Kontrollen Im Personalwesen 

Bei datenschutzrechtlichen Kontrollbesuchen festgestellte 
Mängel musste ich in zahlreichen Fällen beanstanden. 

Im Berichtszeitraum habe ich die Unfallkasse des Bun- 
des, das Wasser- und Schifffahrtsamt Dresden sowie das 
Jobcenter Wittenberg im Umgang mit Beschäftigtendaten 
in den Personalabteilungen und bei Fachvorgesetzten 
- insbesondere im Hinblick auf die automatisierte Perso- 
naldatenverarbeitung - beraten und kontrolliert. Zu 
meinem Bedauern musste ich zahlreiche Verstöße, ins- 
besondere gegen die §§106 ff BBG, feststellen und in 
mehreren Fällen förmlichen Beansfandungen ausspre- 
chen. 

Kontrollen bei der Unfallkasse des Bnndes 

Die Unfallkasse des Bundes (UK-Bund) habe ich im Be- 
richtszeitraum zweimal kontrolliert. Dabei zeigten sich 
erhebliche Datenschutzverstöße beim automatisierten 
Umgang mit personenbezogenen Daten der Beschäftig- 
ten. So habe ich unzulässige Verfahren der automatisier- 
ten Personaldatenverarbeitung und sonstige Dokumente 
mit Personal-ZPersonalaktendaten vorgefunden, die neben 
dem für Zwecke der Personalverwaltung, Organisation 
und Stellenbewirtschaftung eingesetzten Verfahren EPOS 
betrieben wurden, ln diesen Verfahren waren ohne 
Rechtsgrundlage Personal-ZPersonalaktendaten von Be- 
schäftigten, u. a. mit Angaben über ihre Gesundheit, zu 
bereits lange abgeschlossenen Personalvorgängen - teil- 
weise als „Muster“ für zukünftige Vergleichsfälle - ge- 
speichert. 
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Datenschutzrechtliche Mängel ergaben sich auch beim 
Betrieb des sog. elektronischen Zeitwirtschaftssystems. 
Mit diesem System werden auch die Urlaubs- und Er- 
krankungsdaten verwaltet. Allerdings wurden die gesetz- 
lichen Aufbewahrungsfristen (§113 Absatz 2 Satz 1 
BBG) für diese Personalaktendaten nicht eingehalten. So- 
wohl automatisiert als auch in Papierform waren diese 
Daten unzulässig zu früh gelöscht worden, was die Per- 
sönlichkeitsrechte der Betroffenen verletzt. 

Am Arbeitsplatz des Leiters einer Fachabteilung der UK- 
Bund wurden unzulässig Personal-ZPersonalaktendaten 
(hierunter auch Angaben über Gesundheit) automatisiert 
gespeichert, dabei auch solche von Beschäftigten anderer 
Abteilungen. Unter welchen engen Voraussetzungen Vor- 
gesetzte im Rahmen der täglichen Aufgabenerledigung 
berechtigt sind, personenbezogene Daten der Mitarbeite- 
rinnen und Mitarbeiter ihrer Organisationseinheit zu ver- 
wenden, habe ich ausführlich in meinem 21. TB 
(Nr. 14.1) dargestellt. Diese Voraussetzungen waren vor- 
liegend nicht gegeben. 

Die Datenschutzverstöße habe ich nach § 25 Absatz 1 
BDSG gegenüber dem Vorstand der UK-Bund beanstan- 
det. Der Besuch zeigte auch Datenschutzverstöße im Um- 
gang der UK-Bund mit Sozialdaten der bei ihr Versicher- 
ten auf, die ebenfalls zu einer förmlichen Beanstandung 
führten (vgl. hierzu Nr. 11.4.2). 

Bei einer unangekündigten Nachkontrolle musste ich er- 
neut feststellen, dass entgegen der mir zuvor gegebenen 
Bestätigung, dass die schon beanstandeten Mängel im 
Umgang mit Personal-ZPersonalaktendaten der Beschäf- 
tigten und mit Sozialdaten abgestellt worden seien, nach 
wie vor eine sehr große Anzahl an Dateien mit Personal-Z 
Personalaktendaten der Beschäftigten ohne Rechtsgrund- 
lage und damit weiterhin unzulässig gespeichert waren. 
Ich habe dies gegenüber dem Vorstand der UK-Bund er- 
neut als einen Verstoß gegen die Regelungen der 
§§106 ff. BBG beanstandet. 

Nach § 24 Absatz 4 BDSG sind die öffentlichen Stellen 
des Bundes verpflichtet, mich und meine Mitarbeiterin- 
nen und Mitarbeiter bei der Erfüllung meiner Aufgaben 
zu untersfützen. Die unzutreffende Bestätigung der Lö- 
schung von unzulässig gespeicherten Personal-ZPersonal- 
aktendaten durch den Geschäftsführer - nach der ich von 
einem nunmehr datenschutzkonformen Umgang mit Be- 
schäftigtendaten ausgehen konnte - habe ich deshalb 
nach § 25 Absatz 1 BDSG gegenüber dem Vorstand der 
UK-Bund als einen Verstoß gegen das in § 24 Absatz 4 
BDSG normierte Unterstützungsgebot beanstandet. 

Auch in Freitextfeldem in EPOS und im Zeitwirtschafts- 
system der UK-Bund habe ich unzulässige, für die Aufga- 
benerfüllung nicht erforderliche Einträge mit Beschäftig- 
tendaten festgestellt. Noch während des Besuches hat die 
UK-Bund die von mir empfohlenen notwendigen Maß- 
nahmen für einen datenschufzgerechten Umgang mit Be- 
schäftigtendaten in den Freitextfeldem beider Systeme 
eingeleitet und mir die Löschung aller unzulässigen Be- 
schäftigtendaten erneut zugesichert. Unter Berücksichti- 


gung dieser Maßnahmen habe ich insoweit von einer Be- 
anstandung abgesehen. 

Kontrolle im Wasser- und Schifffahrtsamt (WSA) 
Dresden 

Im Zusammenhang mit meinen beiden im Jahr 2009 
durchgeführten Beratungs- und Kontrollbesuchen im Ge- 
schäftsbereich des BMVBS (vgl. 23. TB Nr. 12.4) habe 
ich im WSA Dresden überprüft, ob die vom BMVBS zu- 
gesagtenZbestätigten Maßnahmen und Veranlassungen für 
einen datenschutzgerechten Umgang mit Beschäftigten- 
daten im Geschäftsbereich im Praxisbetrieb umgesetzt 
wurden. Insbesondere galt mein Augenmerk möglichen 
weiteren unzulässigen Verfahren der automatisierten Per- 
sonaldatenverarbeitung neben dem im Geschäftsbereich 
eingesetzten einheitlichen Personalverwaltungssystem 
PVS BMVBS (PVS). 

Die Prüfung im WSA Dresden des dort seit Oktober 2007 
eingesetzten PVS führte erfreulicherweise im Ergebnis zu 
keinen datenschutzrechtlichen Beanstandungen bei der 
Nutzung des eigentlichen Systems. Allerdings habe ich 
dort im Sachbereich Personal erneut in großer Anzahl 
weitere unzulässige Verfahren der automatisierten Perso- 
naldatenverarbeitung für Zwecke der Personalverwal- 
tungZPersonalwirtschaft vorgefunden, ln der Regel waren 
dort Personal-ZPersonalaktendaten der Beschäftigten ge- 
speichert, die nach den gesetzlichen Aufbewahrungs-ZLö- 
schungsregelungen längst hätten gelöscht sein müssen. 
Ich habe deutlich gemacht, dass das in PVS grundsätzlich 
gewährleistete gesetzmäßige Löschen von Beschäftigten- 
daten nicht durch einen Umgang mit Beschäftigtendaten 
außerhalb von PVS „unterlaufen“ werden darf 

Nach meinen Kontroll- und Beratungsbesuchen im 
Jahr 2009 hatte das BMVBS seinen Geschäftsbereich 
u. a. darauf hingewiesen, dass auch bei Papierunterlagen 
die gesetzlichen Löschungsfristen zu beachten sind. Den- 
noch habe ich im WSA Dresden in sehr großem Umfang 
unzulässig gespeicherte Personal-ZPersonalaktendaten in 
Papierform - auch besondere Arten personenbezogener 
Daten (Angaben über politische Meinungen, Gesundheit) - 
festgestellt. So waren z. B. in drei Karteikästen Hunderte 
alter Karteikarten (Personalkarten) zu ausgeschiedenen, 
in überwiegender Zahl bereits verstorbenen Beschäftigten 
des WSA Dresden bzw. der Vörgängerbehörden und zu 
deren Angehörigen abgelegt. Die Geburtsdaten der Be- 
troffenen datierten ab dem Jahr 1885! 

Die unzulässige Speicherung von Personal-ZPersonalak- 
tendaten in automatisierter und in manueller Form habe 
ich gegenüber dem BMVBS als Verstoß gegen die Rege- 
lungen der §§106 ff. BBG bzw. gegen § 12 Absatz 4 
i. V. m. § 32 Absatz 1 BDSG beanstandet. 

Geprüft habe ich auch das automatisierte Gleitzeitverfah- 
ren. Wie ich dabei feststellen musste, waren dort alle 
Zeitbuchungen der Beschäftigten rückwirkend noch bis 
zum 1. Januar 2010 gespeichert, was mit den entspre- 
chenden Regelungen der Verordnung über die Arbeitszeit 
der Beamtinnen und Beamten des Bundes (Arbeitszeit- 
verordnung - AZV) vom 23. Februar 2006 nicht in Ein- 
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klang steht. Welche personenbezogenen Daten der Be- 
schäftigten den unmittelbaren Vorgesetzten im Rahmen 
der automatisierten Gleitzeit mitgeteilt werden dürfen, 
hatte ich u. a. in meinem 21. TB (Nr. 14.1) dargestellt. 
Dass die unmittelbaren Vorgesetzten an ihren Rechnern 
einen permanenten automatisierten und unkontrollierten 
Zugang zu den Gleitzeitkonten der Beschäftigten ihrer 
Organisationseinheit hatten und somit jederzeit die Mög- 
lichkeit bestand, unzulässigerweise Gleitzeitdaten (Ein- 
zelbuchungen) zur Kenntnis zu nehmen und das Verhal- 
ten der einzelnen Beschäftigten zu überprüfen, verstößt 
gegen § 7 Absatz 8 AZV Auch die maßgebliche Rege- 
lung zu diesem Datenzugriff - der der Personalrat zuge- 
stimmt hatte - entsprach nicht der Rechtslage, ln der 
Gleitzeitstelle habe ich ferner unzulässig gespeicherte alte 
Gleitzeitlisten und Monatsjoumale von ausgeschiedenen 
Beschäftigten festgestellt. Unzulässig war auch die im 
WSA geübte Praxis, täglich eine automatisierte Abwe- 
senheitsliste mit Zugriffsmöglichkeit für alle Beschäftig- 
ten des Amtes zu erstellen. 

Die festgestellten Mängel im Umgang mit Beschäftigten- 
daten bei der Durchführung der gleitenden Arbeitszeit 
habe ich gegenüber dem BMVBS nach § 25 Absatz 1 
BDSG als Verstoß gegen die Regelungen des § 12 Ab- 
satz 4 i. V. m. § 32 Absatz 1 BDSG und § 7 Absatz 7 
und 8 AZV beanstandet. 

Im Ergebnis habe ich dem BMVBS mitgeteilt, dass ich 
hinsichtlich zahlreicher Kontrollfeststellungen grundsätz- 
lichen Handlungsbedarf für den gesamten Geschäftsbe- 
reich sehe. 

Kontrolle im Jobcenter Landkreis Wittenberg 

Der Beratungs- und Kontrollbesuch im Jobcenter Land- 
kreis Wittenberg diente dazu, den Umgang mit personen- 
bezogenen Daten aller zugewiesenen Beschäftigten im 
Rahmen der dem Geschäftsführer des Jobcenters zuste- 
henden dienst-, personal- und arbeitsrechtlichen Befug- 
nisse zu überprüfen (vgl. Nr. 12.1.3.9). Konkrete 
datenschutzrechtliche AnweisungenWorgaben oder Ver- 
fügungen zum zulässigen Umgang mit Beschäftigtenda- 
ten gab es zum Zeitpunkt meines Besuches im Jobcenter 
leider nicht. 

Am Arbeitsplatz einer Bereichsleiterin habe ich u. a. fest- 
gestellt, dass auf die tagesaktuell erstellte automatisierte 
Liste „Abwesenheit von Beschäftigten“ neben der Ge- 
schäftsführung alle Teamleiter des Jobcenters Zugriff hat- 
ten und zwar nicht beschränkt auf die ihnen zugewiese- 
nen Mitarbeiter. Dies war für deren Aufgabenerfüllung 
nicht erforderlich und somit ebenso unzulässig, wie die 
Speicherung der detaillierten Abwesenheitsgründe. Ferner 
waren dort noch einige automatisierte Listen (automati- 
sierte Verfahren) und Dokumente mit Personal-ZPersonal- 
aktendaten der Beschäftigten gespeichert, die bereits ge- 
löscht hätten sein müssen, da sie zur Aufgabenerfüllung 
der Vorgesetzten nicht mehr erforderlich waren. Ich habe 
darauf hingewiesen, dass es sich bei solchen automati- 
sierten Listen des Jobcenters als verantwortliche Stelle 
um Verfahren der automatisierten Personaldatenverarbei- 
tung handelt. Sie sind u. a. in das Verfahrensverzeichnis 


des Jobcenters aufzunehmen und unterliegen der Mitbe- 
stimmung. Ferner sind rechtzeitig der Beauftragte für den 
Datenschutz der verantwortlichen Stelle und in allgemei- 
ner Form die betroffenen Beschäftigten zu unterrichten. 
Diese Voraussetzungen waren im Jobcenter noch nicht 
umgesetzt. 

Am Arbeitsplatz eines Teamleiters wurden die einzelnen 
Urlaubskarten der Beschäftigten des Teams aufbewahrt. 
Nach seiner Aussage erfolgte dies mit freiwilliger Zu- 
stimmung der Betroffenen. Entsprechende schriftliche 
Einwilligungen nach § 4a BDSG konnten allerdings nicht 
vorgelegt werden. Die Urlaubskarte stellt eine Unterlage 
mit Personalaktendaten dar und gehört materiell-rechtlich 
zur Personlakte des jeweiligen Beschäftigten. Eine Auf- 
bewahrung der Urlaubskarten bei einem Vorgesetzten 
verstößt gegen das Personalaktengeheimnis. Nach § 107 
BBG dürfen Vorgesetzte keinen Zugang zur Personalakte 
eines Beschäftigten haben und auch keine Personalakten 
- auch nicht als Teilakte - führen. Festgestellt habe ich 
auch, dass im elektronischen Zeiterfassungssystem des 
Jobcenters noch Einzelzeitbuchungen gespeichert waren, 
die nach der AZV bereits hätten vernichtet sein müssen. 

Da das Jobcenter Landkreis Wittenberg noch während des 
Besuches notwendige Maßnahmen eingeleitet hat, habe 
ich nach § 25 Absatz 2 BDSG davon abgesehen, die fest- 
gestellten Datenschutzverstöße zu beanstanden. 

1 3.5 Arzneimittelrabatte auf der Grundlage 
von Beihilfeabrechnungen 

Das Gesetz über Rabatte für Arzneimittel verändert auch 
die Beihilfebearbeitung - mit Auswirkungen auf den Da- 
tenschutz. 

Zum 1. Januar 2011 wurden viele Beihilfeberechtigte da- 
von überrascht, dass die Beihilfestelle ihnen nicht mehr 
die eingereichten Rezepte nach Abrechnung ihrer An- 
träge zurücksandte. Weil auch nach dem Bundesbeamten- 
gesetz Unterlagen, aus denen die Art einer Erkrankung 
ersichtlich ist, unverzüglich zurückzugeben sind, wenn 
sie für den Zweck, zu dem sie vorgelegt worden sind, 
nicht mehr benötigt werden, haben sich zahlreiche Be- 
amte an mich gewandt. 

Das Anfang 2011 in Kraft getretene Gesetz über Rabatte 
für Arzneimittel hat sich auch auf das Beihilfeverfahren 
des Bundes ausgewirkt. In seiner Umsetzung haben die 
Beihilfestellen durch entsprechende Hinweiszettel mitge- 
teilt, Rezeptbelege würden ab Kaufdatum 1. Januar 2011 
nicht mehr zurückgesandt. Denn bei der Beihilfesachbe- 
arbeitung werden alle Arzneimittel, zu denen ein Beihil- 
feanspruch geltend gemacht wurde, auf Rabattfähigkeit 
geprüft. Handelt es sich um ein rabattfähiges Arzneimit- 
tel, so hat die Festsetzungsstelle über die zentrale Stelle 
den Rabatt geltend zu machen. Weil die meisten Beihil- 
feanträge auch Arzneimittel betreffen, müssen die Prü- 
fung auf Rabattfähigkeit und die Geltendmachung der 
Rabatte organisatorisch in das Verfahren der Beihil- 
fesachbearbeitung eingegliedert werden. Die Geltendma- 
chung erfolgt grundsätzlich in anonymisierter Form, er- 
fordert also nicht die Nutzung oder Übermittlung 
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personenbezogener Daten an die zentrale Stelle oder das 
rabattverpfliehtete Unternehmen. Allerdings erlaubt das 
Gesetz über Rabatte für Arzneimittel dem rabattverpflieh- 
teten pharmazeutisehen Unternehmer, „in begründeten 
Fällen sowie in Stiehproben“ die Prüfung der Rabattab- 
reehnung dureh einen Treuhänder. Gegen diese Praxis 
und das einzuführende Treuhänderverfahren in der Bei- 
hilfe hatte ieh gegenüber dem BMI datensehutzreehtliehe 
Bedenken geäußert, die insbesondere die Vereinbarkeit 
mit den Regelungen des § 108 Absatz 1 Satz 5 und § 113 
Absatz 2 Satz 3 BBG betrafen. 

Die fehlenden beamtenreehtliehen Vorgaben wurden zwi- 
sehenzeitlieh ergänzt. Dureh den entspreehenden Zusatz 
in § 113 Absatz 2 BBG sind Verfahren, mit denen Rabatte 
oder Erstattungen geltend gemaeht werden, nunmehr be- 
rüeksiehtigt. 

14 Verteidigung und Bundesfreiwiiiigen- 

dienst 

14.1 Feidpost aus Afghanistan 

Ein böser Verdacht hat sich nicht bestätigt. 

Im Januar 2011 schreekten mieh Presseberiehte auf, Post- 
sendungen deutseher Soldaten aus Afghanistan an ihre 
Angehörigen in Deutsehland seien geöffnet und zum Teil 
ohne Inhalt angekommen. Die Vermutungen beruhten auf 
Beschwerden an den Wehrbeauftragten des Deutschen 
Bundestags. Ich bat das Bundesministerium der Verteidi- 
gung (BMVg) um Auskunft, woraufhin der Beauftragte 
für den Datenschutz in der Bundeswehr (BfDBw) umge- 
hend die ihm vorliegenden Informationen übersandte und 
mitteilte, dass er bereits mit der datenschutzrechtlichen 
Prüfung der Vorfälle begonnen habe. Daneben hätten 
auch das Einsatzführungskommando der Bundeswehr 
sowie das Streifkräfteuntersfützungskommando Ermitt- 
lungen aufgenommen. Auch die zuständige Staatsanwalt- 
schaft hatte im Februar 2011 ein Ermittlungsverfahren 
gegen Unbekannt eingeleitet. Es bestand der Verdacht, 
die Postsendungen seien in Deutschland unerlaubt geöff- 
net worden. Schließlich führte auch die Deutsche 
Post AG in ihrem Zuständigkeitsbereich Untersuchungen 
durch. 

Alle Stellen fanden nach Abschluss ihrer Ermittlungen 
keine Anhaltspunkte dafür, dass Postsendungen systema- 
tisch geöffnet und Gegenstände entwendet worden waren. 
Verletzungen des Postgeheimnisses (Artikel 10 GG) 
konnten nicht festgestellt werden. Auffällig viele Ver- 
dachfsfälle betrafen Speichermedien, wie beispielsweise 
Micro-SD-Karten, die in D1N-A5-Briefumschlägen ver- 
schickt worden waren. Die Briefe wiesen alle an der glei- 
chen Stelle eine Öffnung vor. Wie die staatsanwaltschafl- 
lichen Ermittlungen ergaben, waren die Beschädigungen 
aller Wahrscheinlichkeit nach durch eine Sortiermaschine 
verursacht worden. Erkennen die Postmitarbeiter nicht, 
dass sich im Umschlag ein Gegenstand befindet, wird der 
Brief in eine Sortiermaschine eingelegt. Die Speicherme- 
dien werden dann durch die Maschine herausgedrückt. 
Wird dies anschließend erkannt, werden die Briefe ver- 
schlossen und der Adressat wird durch ein mitgesendetes 
Anschreiben auf den Grund der Beschädigung hingewie- 


sen. Die herausgedrückten Gegenstände werden täglich 
eingesammelt, können bei ca. 40 000 Briefen aber nicht 
mehr zugeordnet werden. Die gesammelten Gegenstände 
werden für ein Jahr aufbewahrt, Speichermedien an- 
schließend vernichtet. 

ln zahlreichen Verdachtsfällen konnte somit eine wahr- 
scheinliche Ursache für die Beschädigungen und den Ver- 
lust der Speichermedien identifiziert werden. Weitere 
Fälle konnten durch die Staatsanwaltschaft aufgeklärt 
werden (Paket wurde verspätet zugestellt oder rechtmäßig 
durch den Zoll geöffnet, zusätzlich angebrachte Verkle- 
bungen zum Schutz vor Witterungseinfiüssen). Lediglich 
in einem Fall bestand der Verdacht eines Diebstahls, der 
aber nicht mehr aufgeklärt werden konnte. 

Das BMVg und der BfDBw haben mir in dieser Angele- 
genheit alle erforderlichen Informationen zeitnah zur Ver- 
fügung gestellt und damit ein Beispiel für gute Zusam- 
menarbeit gegeben. 

14.2 Wehrrechtsänderungsgesetz 2011 - 
das Ende der Wehrpflicht? 

Die Aussetzung der Wehrpflicht hat zahlreiche Auswir- 
kungen - auch für den Datenschutz. 

Der Gesetzgeber hat mit dem Gesetz zur Änderung wehr- 
rechtlicher Vorschriften vom 28. April 2011 (Wehrrechts- 
änderungsgesetz 2011 - WehrRÄndG) die Aussetzung 
des allgemeinen Grundwehrdienstes zum 1. Juli 2011 be- 
schlossen. 

Was geschieht mit den personenbezogenen Daten der aus- 
scheidenden Soldaten und Mitarbeiter? Wie lange dürfen 
Akten mit Personaldaten aufbewahrt werden und welche 
Rechtsgrundlagen gelten hierfür? Werden die neuen 
Diensfe (freiwilliger Wehrdiensf und Bundesfreiwilligen- 
dienst) datenschutzkonform durchgeführt? Diesen Fragen 
war im Rahmen von Beratungs- und Kontrollbesuchen 
sowie den inhaltlich damit im Zusammenhang stehenden 
Bürgereingaben nachzugehen. 

14.2.1 Aussetzung des Zivildienstes 

Als Folge der Aussetzung des Wehrdienstes wurde auch 
der Zivildienst für anerkannte Kriegsdienstverweigerer 
zum 1. Juli 2011 ausgesetzt. 

Die Änderung des Zivildienstgesetzes (ZDG) erfolgte in 
Artikel 3 des Gesetzes zur Einführung eines Bundesfrei- 
willigendienstes vom 28. April 2011. Nach § la ZDG 
wird der Zivildienst nur noch im Spannungs- oder Vertei- 
digungsfall abgeleistet werden. Infolge der Aussetzung 
haben sich die Aufgaben im Bundesamt für Familie und 
zivilgesellschaftliche Aufgaben (BAFzA, ehemals Bun- 
desamt für Zivildienst) erheblich verändert. Eine Vielzahl 
der bisherigen Aufgaben ist entfallen. 

Ob die Verfahren bei der Abwicklung des Zivildienstes 
den datenschutzrechtlichen Grundsätzen entsprechen, 
habe ich bei einem Beratungs- und Kontrollbesuch im 
BAFzA überprüft. Bei der Kontrolle habe ich insoweit 
keine datenschutzrechtlichen Mängel festgestellt und 
konnte mich von einem kompetenten und datenschutzge- 
rechten Umgang der Mitarbeiter mit den Akten und Daten 
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der ehemaligen Zivildienstleistenden überzeugen. Durch 
die seit 2006 erfolgte Umstellung der Papierakten auf 
elektronische Akten (vgl. auch 21. TB Nr. 4.7) gelten die 
für dieses Verfahren festgelegten Sicherungsmaßnahmen 
sowie die Lösch- und Vemichtungsregelungen weiter. 
Speicherung und Aufbewahrung der Akten im elektroni- 
schen Verfahren sind systemgesteuert und werden nach 
den hierfür festgelegten Routinen behandelt. Dies gilt 
ebenso für die Datenlöschung. Die Ausführung wird von 
der behördlichen Datenschutzbeauftragten regelmäßig 
kontrolliert. 

14.2.2 Einführung des Bundesfreiwilligen- 
dienstes 

Mit dem Gesetz zur Einführung des BundesfreiwiUigen- 
dienstes (BFDG) vom 28. April 2011 wurde ein neuer 
Dienst auf Basis freiwilliger Teilnahme eingerichtet. Prü- 
fungen vor Ort ergaben nur Hinweise auf kleinere Män- 
gel. 

Im Bundesfreiwilligendienst engagieren sich Frauen und 
Männer für das Allgemeinwohl, insbesondere im sozia- 
len, ökologischen und kulturellen Bereich sowie im Be- 
reich des Sports, der Integration sowie des Zivil- und 
Katastrophenschutzes. Das Freiwilligendienstverhältnis 
kommt durch Abschluss einer Vereinbarung nach § 8 
BFDG zwischen der Bundesrepublik Deutschland (ver- 
treten durch das BAFzA) und dem Freiwilligen zustande. 
Die Inhalte der Vereinbarung, zu denen insbesondere die 
Dauer des zu leistenden Dienstes sowie Art und Umfang 
der an den Freiwilligen zu entrichtenden Leistungen zäh- 
len, werden vorab mit der Einsatzstelle und dem Freiwil- 
ligen abgestimmt. Der Bundesfreiwilligendienst wird in 
der Regel für eine Dauer von zwölf zusammenhängenden 
Monaten geleistet. Er dauert mindestens sechs und höchs- 
tens 18 Monate (§ 3 Absatz 2 Satz 1 und 2 BFDG). Die 
Zuständigkeit für den Bundesfreiwilligendienst wurde auf 
das Bundesamt für Familie und zivilgesellschaftliche 
Aufgaben übertragen. 

Mit den vertraglichen Vereinbarungen werden personen- 
bezogene Daten erhoben und gespeichert. Anlässlich 
meines Beratungs- und Kontrollbesuchs beim BAFzA 
habe ich ein ausgeprägtes Bewusstsein für einen sorgfälti- 
gen Umgang mit personenbezogenen Daten wahrgenom- 
men. Vor Ort wurden nur geringe datenschutzrechtliche 
Mängel festgestellt, die größtenteils bereits während mei- 
nes Besuchs beseitigt wurden. Für die Bearbeitung steht 
nicht die aus dem Zivildienst bekannte „E-Akte“ als Ver- 
fahrens- und Bearbeitungsinstrument zur Verfügung. 
Zwar werden die Bearbeitungsfexte mit einem Textverar- 
beitungsprogramm erstellt, jedoch erfolgt die Aktenfüh- 
rung noch in Papier. Zu Einzelfragen der entsprechenden 
Datenschutzorganisation befinde ich mich noch im Dia- 
log mit dem BAFzA. 

14.2.3 Personalgewinnung durch Karriere- 
center der Bundeswehr 

Die Bundeswehr verarbeitet vielfältige personenbezogene 
Bewerberdaten. Bei Prüfungen festgestellte kleinere Da- 


tenschutzmängel konnten im Wesentlichen abgestellt wer- 
den. 

Die Bundeswehr kann für ihren Personalbedarf nicht 
mehr auf die Unterstützung durch Wehrpflichtige zurück- 
greifen. Um Zeit- und Berufssoldaten sowie Zivilpersonal 
zu gewinnen, hat sich die Bundeswehr für eine Lösung 
„aus einer Hand“ entschieden und ihr Personalgewin- 
nungsverfahren mit der Einrichtung von sog. Karriere- 
centem neu gestaltet. 

Das Zentrum für Nachwuchsgewinnung Nord (ZNwG 
NORD) in Hannover wurde beauftragt, im Rahmen eines 
Pilotprojekts unter einem Dach Nachwuchs für alle Berei- 
che der Bundeswehr - militärische und zivile - zu gewin- 
nen. Dabei wird eine Vielzahl von Daten erhoben, die ne- 
ben den persönlichen Angaben auch medizinische und 
psychologische Erkenntnisse enthalten. 

Bei einem Beratungs- und Kontrollbesuch habe ich nur 
geringe datenschutzrechtliche Mängel festgestellt. Meine 
entsprechenden Empfehlungen wurden bereits beim Ab- 
schlussgespräch angenommen. Die Stellungnahme zu 
meinem Kontrollbericht lag bei Redaktionsschluss noch 
nicht vor. 

ln den Räumlichkeiten des ZNwG NORD konnte ich 
mich von einem datenschutzbewussten Umgang mit Be- 
werberakten durch die Bundeswehrmitarbeiter überzeu- 
gen. Der Datenschutz wird bei der Arbeits- und Termin- 
planung ebenso berücksichtigt wie auf den Fluren und in 
den Aufenthaltsbereichen, in denen sich die Bewerber 
während des Auswahlverfahrens aufhalten. 

Der Umgang mit den Bewerbern in den Bereichen des 
psychologischen und medizinischen Dienstes vollzieht 
sich individuell, diskret und datenschutzgerecht. Die hier- 
für benötigten Akten werden von Hand zu Hand weiter- 
gegeben, nachdem sie zuvor entsprechend der Terminie- 
rung bereitgestellt wurden. Die Aufbewahrung bzw. 
Bereithaltung richtet sich nach den geplanten Terminen 
und erfolgt zentral in den dafür vorgesehenen Aktenräu- 
men. 

Bei der medizinischen Untersuchung werden auch Patien- 
tenakten angelegt, um die medizinische Tauglichkeit des 
Bewerbers oder Verwendungsausschlüsse ermitteln zu 
können. Die erreichte Tauglichkeitsstufe sowie die aus 
der Untersuchung resultierenden Verwendungsmöglich- 
keiten werden in die Bewerberakte übernommen, nicht 
jedoch die medizinischen Befunde. Diese werden in ver- 
schlossenen Umschlägen mit den Akten aufbewahrt und 
verschlossen weitergeleitet. Sie dürfen nur von besonders 
dazu befugten Personen, z. B. Ärzten oder besonders be- 
auftragten Mitarbeitern des medizinischen Dienstes ge- 
öffnet werden. 

Insgesamt sind etwa 16 Karrierecenter der Bundeswehr 
geplant. Bei der Einrichtung der weiteren Karrierecenter 
erwarte ich ein ebenso hohes Maß an Datenschutzbe- 
wusstsein und einen verantwortungsvollen Umgang mit 
den Daten, wie ich sie bei meiner Kontrolle vorgefunden 
habe. 
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14.2.4 Aufbewahrungsdauer von Akten 
Wehrpflichtiger bei der Bundeswehr 

Für Musterungsakten gelten differenzierte Aufbewahrungs- 
fristen. Nach deren Ablauf sind die Akten zu vernichten. 

Mit der Aussetzung des Wehrdienstes haben ehemalige 
Wehrpflichtige um Aufklärung über die Aufbewahrungs- 
dauer ihrer Musterungsakten gebeten. Für die Aufbewah- 
rung der Musterungsakten gelten unterschiedliche Rege- 
lungen je nach Zeitpunkt der Musterung. 

Für Wehrpflichtige, die vor dem 30. Juni 2011 gemustert 
wurden, richten sich die Aufbewahrungsfristen nach der 
Personalaktenverordnung Wehrpflichtige (WPersAV) 
vom 15. Oktober 1998. Diese Verordnung regelt Einzel- 
heiten zum Personalaktenrecht der ungedienten Wehr- 
pflichtigen. Sie gilt fort, weil der Wehrdienst zwar ausge- 
setzt, die Wehrpflicht aber nicht abgeschafft wurde. 
Folglich gilt weiterhin eine Wehrpflicht (§ 1 WPflG), die 
aber in Friedenszeiten keine praktischen Folgen mehr hat. 
Daher handelt es sich bei den Musterungsakten weiterhin 
um die Akten von Wehrpflichtigen, für deren Aufbewah- 
rung die WPersAV gilt. 

Nach § 4 WPersAV gelten folgende Fristen: Die Perso- 
nalakte des (ungemusterten und gemusterten) Wehr- 
pflichtigen ist so lange aufzubewahren, wie dies zur Er- 
füllung der Wehrpflicht erforderlich ist, längstens bis zum 
Ablauf des Jahres, in dem der Wehrpflichtige das 45. Le- 
bensjahr vollendet. Im Falle der Wehrdienstunfähigkeit 
ist die Personalakte längstens bis zum Ablauf von fünf 
Jahren nach Eintritt der Wehrdienstausnahme aufzube- 
wahren, § 4 Absatz 1 Satz 2 WPersAV. Abweichend hier- 
von sind die Gesundheitsunterlagen längstens bis zum 
Ablauf des Jahres aufzubewahren, in dem der Wehr- 
pflichtige das 45. Lebensjahr vollendet, sofern nicht nach 
anderen Vorschriften eine längere Aufbewahrungsfrist 
vorgesehen ist. ln Fällen der Wehrdienstunfähigkeit sind 
also spätestens mit Ablauf des Jahres, in dem das 45. Le- 
bensjahr vollendet wurde, die Musterungsakten gemäß 
§ 4 Absatz 3 Satz 3 WPersAV zu vernichten. 

Für Personen (wehrpflichtige Männer und nicht wehr- 
pflichtige Frauen), die nach dem 30. Juni 2011 für den 
Freiwilligen Wehrdienst untersucht wurden, finden die 
§§ 58, 59 WPflG Anwendung. Die erhobenen Daten sind 
zu löschen, wenn die Betroffenen dies verlangen, spätes- 
tens jedoch nach Ablauf eines Jahres nach ihrer erstmali- 
gen Speicherung beim Bundesamt für Wehrverwaltung. 
Bei Nichttauglichkeit sind die bei der Untersuchung erho- 
benen Daten nach Ablauf eines Jahres nach der Untersu- 
chung zu löschen. Im Fall der Tauglichkeit gelten für 
Wehrpflichtige bei Nichtantritt des Freiwilligen Wehr- 
dienstes wiederum die Fristen der WPersAV. 

14.2.5 Stärkung des Beauftragten für den 
Datenschutz in der Bundeswehr 

Die Unabhängigkeit des Beauftragten für den Daten- 
schutz in der Bundeswehr wurde endlich gestärkt. 

Mit der Neuausrichtung der Bundeswehr ist auch eine 
Neustrukturierung des Bundesministeriums der Verteidi- 


gung verbunden, in deren Rahmen meine Empfehlungen 
zur unabhängigen Stellung des Beauftragten für den Da- 
tenschufz in der Bundeswehr (BfDBW) umgesefzf wur- 
den. War der BfDBW vor der Reform in Zugleichfunk- 
tion Leiter des administrativen Datenschutzes, so gehört 
der administrative Datenschutz nach der Neustrukturie- 
rung nicht länger zum Aufgabenbereich des BfDBW, son- 
dern bildet einen eigenen, in die ministerielle Hierarchie 
eingebundenen Fachstrang. 

Der BfDBW kann sich nunmehr ohne die Gefahr von In- 
teressenkonfiikten völlig auf seine eigentlichen, originä- 
ren Aufgaben als behördlicher Datenschutzbeauftragter 
(bDSB) konzentrieren. Damit ist er neutraler Ansprech- 
partner für Soldaten und Zivilbeschäftigte der Bundes- 
wehr und in seiner Funktion als bDSB unmittelbar dem 
Minister unterstellt. 

14.3 Versendung von Werbematerial an 
Jugendliche durch die Bundeswehr 

Die Meldeämter übersenden dem Bundesamt für Wehr- 
verwaltung jährlich Meldedaten zur Werbung Freiwilli- 
ger. Die Bundeswehr nutzt diese Meldedaten, um Infor- 
mationsmaterial an junge Menschen zu versenden. 

Mit dem Wehrrechtsänderungsgesetz 2011 (WehrRÄndG) 
wurde die allgemeine Wehrpflicht (vgl. Nr. 14.2) ausge- 
setzt. Die bis dahin geltende Regelung des § 58 des Wehr- 
pfiichtgesetzes (WPflG) verpflichtete die Meldeämter, 
die Namen und Adressen aller 17-jährigen Männer dem 
Kreiswehrersatzamt zu übermitteln, damit diese zur 
Musterung einbestellt werden konnten. Diese Muste- 
rungspfiicht ist außerhalb des Spannungs- und Verteidi- 
gungsfalles entfallen. Nun wird die Ableistung eines 
freiwilligen Wehrdiensfes mit einer Dauer von bis zu 
23 Monaten für Männer und Frauen angeboten. 

Die neue Fassung des § 58 Absatz 1 WPflG verpflichtet 
die Meldebehörden, dem Bundesamt für Wehrverwaltung 
jährlich Familienname, Vorname und Anschrift von deut- 
schen Staatsangehörigen zu übermitteln, die im nächsten 
Jahr volljährig werden. Damit wird diesem die Möglich- 
keit eingeräumt, einem ausgewählten Empfängerkreis In- 
formationsmaterial zuzusenden. Die Datenübermittlung 
unterbleibt, wenn die Betroffenen nach § 18 Absatz 7 des 
Melderechtsrahmengesetzes widersprochen haben. 

Erstmalig erfolgte diese Meldung der Einwohnermelde- 
ämter im Oktober 2011. Im Anschluss daran versandte 
die Bundeswehr ihre Informationsschreiben „Freiwilliger 
Wehrdienst oder Soldat auf Zeit“, ln einigen Fällen führ- 
ten diese Schreiben zu Unverständnis bei den Betroffen 
oder ihren Eltern, wie in Eingaben an meine Behörde zum 
Ausdruck kam. Die Ursachen hierfür waren unterschied- 
licher Natur. Aufgrund der kurzfristigen Änderung der 
Rechtsgrundlage war vielen Bürgerinnen und Bürgern 
ihre Widerspruchsmöglichkeit nicht bekannt, ln Einzel- 
fällen handelte es sich auch um schlichte Übermittlungs- 
fehler der Meldebehörden, die auch Daten von Kleinkin- 
dern ohne Angabe der Geburtsdaten übermittelten, sodass 
auch diesen von der Bundeswehr Informationsmaterial 
zugesandt wurde. 
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Die Bundeswehr darf zur Erfüllung ihres verfassungsmä- 
ßigen Auftrags die erhaltenen Meldedaten auf der Grund- 
lage des § 58 WPflG nutzen, um Informationsmaterial 
zum Zwecke der Personalwerbung zu versenden. Die er- 
hobenen Daten dürfen allerdings nur zu diesem Zweck 
verwendet werden. Sie sind zu löschen, wenn die Betrof- 
fenen dies verlangen, spätestens jedoch nach Ablauf eines 
Jahres nach der erstmaligen Speicherung der Daten beim 
Bundesamt für Wehrverwaltung. 

Jugendlichen, die diese Werbung der Bundeswehr nicht 
erhalten möchten, empfehle ich daher, das ihnen einge- 
räumte Widerspruchsrecht gegenüber der Meldebehörde 
zu nutzen. 

15 Aus meiner Dienststelle 

15.1 Erfahrungsaustausch mit Datenschutz- 

beauftragten der Obersten Bundes- 
behörden 

Ein regelmäßiger Erfahrungsaustausch ist ein unver- 
zichtbares Element der Zusammenarbeit mit den behörd- 
lichen Datenschutzbeauftragten der Obersten Bundesbe- 
hörden. 

Die bei den Dienststellen des Bundes bestellten Beauf- 
tragten für den Datenschutz haben eine wichtige Funktion 
bei der Verwirklichung des Datenschutzes. Sie sind quasi 
der Motor der datenschutzrechtlichen Entwicklung in 
ihrer Behörde. Zu ihren Aufgaben gehört neben der Kon- 
trolle der Einhaltung der datenschutzrechtlichen Vor- 
schriften die Beratung der Dienststellenleitung, die 
Schulung und Sensibilisierung der mit der Verarbeitung 
personenbezogener Daten betrauten Mitarbeiterinnen und 
Mitarbeiter sowie die Unterstützung von Betroffenen bei 
der Wahrnehmung ihrer Datenschutzrechte. Im Hinblick 
auf diese verantwortungsvolle Tätigkeit habe ich die be- 
hördlichen Datenschutzbeauftragten im Berichtszeitraum 
nicht nur in zahlreichen Einzelfällen beratend unterstützt, 
sondern ihnen im Rahmen des regelmäßig stattfindenden 
Erfahrungsaustausches mit den Datenschutzbeauftragten 
der Obersten Bundesbehörden auch wieder Gelegenheit 
gegeben, in der Praxis auftretende Datenschutzprobleme 
gemeinsam zu erörtern und Rechtsfragen vertieft zu dis- 
kutieren. 

Beim Erfahrungsaustausch im Juli 2011 habe ich die Teil- 
nehmer über aktuelle Entwicklungen im Datenschutz in- 
formiert, insbesondere über den Entwurf zur Regelung 
des Beschäftigtendatenschutzes und den Stand der Pla- 
nungen zur Errichtung einer Stiftung Datenschutz. Einen 
breiten Raum nahm die gemeinsame Erörterung daten- 
schutzrechtlicher Fragen aus dem Bereich des Personal- 
datenschutzes ein, die sich in der täglichen Praxis ergeben 
hatten. Weitere Themen waren die Auftragsdatenverar- 
beitung und die sich aus der Änderung des § 11 BDSG 
ergebenden praktischen Konsequenzen sowie die daten- 
schutzgerechte Gestaltung von Intemetangeboten. Hin- 
weise und Empfehlungen zur IT-Sicherheit, u. a. zur Lö- 
schung von Daten bzw. Datenträgern standen ebenso auf 
der Tagesordnung wie eine Darstellung der rechtlichen 
Problematik der Schnittstelle zwischen dem Recht auf In- 
formationszugang nach dem Informationsfreiheitsgesetz 
des Bundes und dem Schutz personenbezogener Daten. 


Die Veranstaltung im Juli 2012 gab mir Gelegenheit, über 
den aktuellen Stand der Planungen zur Reform des euro- 
päischen Datenschutzrechtsrahmens und das vorgesehene 
Datenschutzpaket zu berichten. Die Tagesordnung sah 
auch einen Austausch der Erfahrungen der Datenschutz- 
beauftragten mit ihrer organisatorischen Stellung in den 
jeweiligen Dienststellen und ihren praktischen Arbeits- 
möglichkeiten vor. Weitere Themen waren datenschutz- 
rechtliche Fragen im Zusammenhang mit telefonischen 
oder schriftlichen Eingaben von Bürgerinnen und Bür- 
gern, der Einsatz von Datenverarbeitungsprogrammen in 
Personalangelegenheiten oder bei der Beihilfebearbei- 
tung, Datenschutz im Rahmen von Telearbeit sowie ein- 
zelne Probleme aus dem IT-Bereich. Auch Fragen zum 
Intemetauftritt (Einbindung des Facebook-Like-Buttons, 
Einsatz von Webanalyseprogrammen) wurden behandelt. 
Schließlich habe ich die Teilnehmer auch über das Ergeb- 
nis der durchgeführten Umfrage zum Einsatz von Video- 
überwachungstechnik in Bundesbehörden (vgl. Nr. 3.3.1) 
informiert. 

15.2 Teilnahme an Datenschutzgremien 

Mit meinen Kolleginnen und Kollegen arbeite ich auf na- 
tionaler, europäischer und internationaler Ebene eng zu- 
sammen. 

ln folgenden Datenschutzgremien war ich im Berichts- 
zeitraum regelmäßig vertreten: 

Nationale Ebene 

Konferenz der Datenschutzbeauftragten des Bundes und 
der Länder mit 

- Arbeitskreis Grundsatzfragen 

- Unterarbeitsgruppe Auftragsdatenverarbeitung/ 
Outsourcing 

- Unterarbeitsgruppe Geodäten 

- Arbeitskreis Verwaltungsmodemisierung 

- Arbeitskreis Steuerverwaltung 

- Arbeitskreis Personalwesen 

- Arbeitskreis Gesundheit und Soziales 

- Unterarbeitsgruppe „Elektronische Gesundheits- 
karte“ 

- Arbeitskreis Wissenschaft 

- Arbeitskreis Statistik 

- Ad-hoc Arbeitsgruppe Zensus 2011 

- Arbeitskreis Verkehr 

- Arbeitskreis Datenschutz und Bildung 

- Arbeitskreis Justiz 

- Arbeitskreis Sicherheit 

- Unterarbeitsgruppe INPOL 

- Unterarbeitsgruppe Europa 

- Arbeitskreis Technik 
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- Arbeitskreis Medien 

- Arbeitskreis Europa 

- Ad-hoc Arbeitsgruppe Smart Meter 

Düsseldorfer Kreis mit 

- Arbeitsgruppe Auskunfteien 

- Arbeitsgruppe Kreditwirtschaft 

- Arbeitsgruppe Versicherungswirtschaft 

- Arbeitsgruppe Internationaler Datenverkehr 

- ad-hoc -Arbeitsgruppe Werbung und Adresshandel 

- Workshop der Aufsichtsbehörden 

Neu eingerichtet wurde gegen Ende des Berichtszeit- 
raums noch die ad-hoc-Arbeitsgruppe Videoüberwa- 
chung, an der ich auch teilnehmen werde. 

Weitere Gremien 

Beirat bei der Arbeitsgemeinschaft für Datentransparenz 
nach § 303b SGB V 

NA 043 Normenausschuss Informationstechnik und An- 
wendungen (NIA) mit 

- NA 043-01-27-05 AK Arbeitskreis Identitätsmanage- 
ment und Datenschutz-Technologien 

- NA 043-01-37 AA Arbeitsausschuss Biometrie 

- NA 043-01-17 AA Arbeitsausschuss Karten und per- 
sönliche Identifikation 

- NA 043-01-51 AA Arbeitsausschuss Vernichten von 
Datenträgern 

Arbeitskreis Identitätsmanagement und Datenschutz- 
Technologien beim DIN 

Koordinierungsstelle IT-Sicherheit (KITS) Fachbeirat 
beim DIN 

Teletrust Arbeitsgruppe 3 Biometrie 

(CAST) Competence Center for Applied Security Tech- 
nology e. V. 

Beirat der gematik (Gesellschaft für Telematikanwendun- 
gen der Gesundheitskarte mbH) 

IT- Sicherheitsmanagement im Geschäftsbereich des Bun- 
desministeriums des Innern 

IT-Rat der Bundesregierung mit 

- IT- Sicherheitsmanagement der Ressorts (Unterarbeits- 
gruppe IT-Rat) 

- Netz des Bundes (Unterarbeitsgruppe IT-Rat) 

Arbeitsgruppe 4 des IT-Gipfels: Vertrauen, Datenschutz 
und Sicherheit im Internet mit 

- Unterarbeitsgruppe 1 IT-Gipfel: Cloud Computing 

- Unterarbeitsgruppe 2 IT-Gipfel: Anforderungen an Si- 
chere Identitäten 

- Unterarbeitsgruppe 4 IT-Gipfel: Mobile Sicherheit 


IT-Planungsrat 

Jour Fixe Telekommunikation 

VlS-Anwendergruppe 

Projektpartner Virtuelles Datenschutzbüro 

Treffen der Presseverantwortlichen der Dienststellen des 
Bundes- und der Landesbeauftragten bzw. der Aufsichts- 
behörden für den Datenschutz 

Europäische Ebene 

Europäische Datenschutzkonferenz 
Artikel-29-Datenschutzgruppe mit 

- Subgroup Financial Matters 

- Subgroup Biometrics & eGovemment 

- Health Data Subgroup 

- BTLE Subgroup 

- Technology Subgroup 

- Future of Privacy Subgroup 

- Key Provisions Subgroup 

- Working Group International Transfers 

- WADA-Subgroup 

Weitere Gremien 

Gemeinsame Kontrollinstanz Europol 

Gemeinsame Kontrollinstanz Schengen 

Gemeinsame Kontrollinstanz Zoll 

Kontroll- und Koordinierungsgruppe des Zollinforma- 
tionssystems (ZIS) 

Case Handling Workshop 

Europarat (sog. T-PD-Gruppe) 

Eurodac-Koordinierungsgruppe 

VlS-Koordinierungsgruppe 

Internationale Ebene 

Internationale Datenschutzkonferenz mit 

- International Working Group Enforcement Coordina- 
tion 

- International Working Group on Data Protection in 
Telecommunications (IWGDPT bzw. „Berlin Group”) 

Weitere Gremien 

OECD Working Party on Information Security and Pri- 
vacy - WPISP 

Global Privacy Enforcement Network (GPEN) 
Accountability Project 
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15.3 Neues Design für meine 
Öffentiichkeitsarbeit 

Im Berichtzeitraum habe ich die Öffentlichkeitsarbeit 
weiter intensiviert. Das Design der Faltblätter und Bro- 
schüren wurde überarbeitet und der Relaunch meines In- 
ternetauftritts eingeleitet. 

Inzwischen habe ich zahlreiche Broschüren und Faltblät- 
ter publiziert. Die „Info-Reihe“ richtet sich hauptsächlich 
an Fachleute und solche Personen, die sich vertieft in die 
Materie einarbeiten wollen oder die Informationen als 
Nachschlagewerk und Ergänzung zu den gesetzlichen 
Vorschriften nutzen. Anhand der Bestellzahlen gehe ich 
davon aus, dass die „Infos“ u. a. auf vielen Schreibtischen 
behördlicher und betrieblicher Datenschutzbeauftragter 
liegen. Meine Publikationen richten sich aber nicht nur an 
ein Fachpublikum. Gerade für Bürgerinnen und Bürger 
aller Altersschichten ist es wichtig, kurze und klare Hand- 
reichungen zum Datenschutz zu erhalten. An sie richten 
sich insbesondere meine Faltblätter. Das Spektrum reicht 
von Grundlagen des Datenschutzes und der Informations- 
freiheit über Tipps für den sicheren Umgang mit elektro- 
nischen Medien bis hin zu wertvollen Informationen zu 
Adresshandel und unerwünschter Werbung. Das Informa- 
tionsangebot werde ich auch in den kommenden Jahren 
aktualisieren und weiter ausbauen. 

Neben den Inhalten kommt es auch auf die Darstellung in 
der Öffentlichkeit an. Deshalb wurden die Faltblätter und 
Broschüren graphisch ansprechender gestaltet. Inzwi- 
schen sind alle meine Publikationen im einheitlichen 
(neuen) Design. Um den Wiedererkennungswert zu stei- 
gern, wird ein eigenes Logo verwendet (vgl. Kasten zu 
Nr. 15.3), das nun neben dem Corporate Design der Bun- 
desregierung auf meinen Druckwerken angebracht ist. 

Eine gute Möglichkeit, Informationsmaterial der Öffent- 
lichkeit zur Verfügung zu stellen und über meine Aufga- 
ben zu informieren, ist die Teilnahme an öffentlichen Ver- 
anstaltungen. So habe ich an den jährlich stattfindenden 
Tagen der offenen Tür der Bundesregierung in Berlin teil- 
genommen und die Möglichkeit genutzt, mit einem Infor- 
mationsstand an den Feierlichkeiten zum Tag der Deut- 
schen Einheit und NRW-Tag in Bonn für Datenschutz und 
Informationsfreiheit zu werben. An den jeweils zweitägi- 
gen Veranstaltungen haben sich viele Bürgerinnen und 
Bürger bei meinen Mitarbeiterinnen und Mitarbeitern 
ausführlich informiert, diskutiert und ihr Datenschutzwis- 
sen in einem öuiz getestet. 

Ebenfalls etabliert haben sich die Informationsveranstal- 
tungen für politisch Interessierte aus den Wahlkreisen der 
Abgeordneten des Deutschen Bundestags. Rund vierzig 
Gruppen mit jeweils 50 Teilnehmern haben sich in die- 
sem Berichtszeitraum für Datenschutzthemen interessiert. 
Auch Schüler, Studenten und kirchliche oder gewerk- 
schaftliche Einrichtungen fragen vermehrt nach, wie sie 
sich bei mir über die neuesten Entwicklungen im Daten- 
schutz und der Informationsfreiheit informieren können. 
Gerne stehen meine Mitarbeiterinnen und Mitarbeiter im 


Rahmen der Möglichkeiten nach vorheriger Anmeldung 
für diese Diskussionsrunden zur Verfügung. 

Die Öffentlichkeitsarbeit wird durch eine aktive Pressear- 
beit ergänzt. Die Vertreterinnen und Vertreter der Medien 
sollen zügig mit adressatengerechten und qualitativ hoch- 
wertigen Informationen versorgt werden. Dazu dienen 
Pressemitteilungen, Pressekonferenzen und Interviews. 
Prägnante Pressethemen im Berichtszeitraum waren die 
Reform des Melderechts und der Einsatz des so genann- 
ten Staatstrojaners. 

Ein weiterer wesentlicher Bestandteil der Öffentlichkeits- 
arbeit ist mein Intemetauftritt. Auch in diesem Bericht- 
zeitraum war ein erfreulich hoher Abruf der Inhalte mei- 
ner Website zu verzeichnen. Über zehneinhalbmillionen 
Mal wurde der Intemetauftritt aufgemfen. Neben den 
Pressemitteilungen interessieren sich die Nutzerinnen und 
Nutzer am meisten für die Informationsmaterialien sowie 
die Reden und Interviews. Thematisch informieren sich 
die Besucherinnen und Besucher meiner Website am häu- 
figsten über die gmndlegenden Dinge des Datenschutzes 
sowie den Datenschutz bei der Arbeit und der Telekom- 
munikation. Seit dreieinhalb Jahren diskutieren viele 
Fachleute und interessierte Bürgerinnen und Bürger in 
dem von mir bereitgestellten interaktiven Datenschutzfo- 
rum intensiv Themen mnd um den Datenschutz und die 
Informationsfreiheit. Hier sind ebenfalls steigende Nutz- 
erzahlen festzustellen. So ist die Zahl der Beiträge im Be- 
richtszeitraum um mehr als vierzehntausend angestiegen. 
Ferner sind fast zweitausend Neuregistriemngen zu ver- 
zeichnen gewesen, so dass das Fomm nun mehr als vier- 
tausend registrierte Nutzerinnen und Nutzer zählt. Um 
mein Intemetangebot noch besser nutzbar zu gestalten, 
habe ich eine Projektgruppe eingerichtet, die den Inter- 
netauftritt überarbeitet. Der Relaunch wird voraussicht- 
lich zum Ende des 1. Halbjahrs 2013 abgeschlossen sein. 

Kasten zu Nr. 15.3 


Logo 
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15.4 Besuche ausländischer Delegationen 

Verschiedene Datenschutzexperten, insbesondere aus 
Asien und Osteuropa, haben meine Dienststelle besucht, 
um aktuelle Fragen des Datenschutzes zu diskutieren und 
Erfahrungen auszutauschen. 

Im Berichtszeitraum habe ich mehrere ausländische Dele- 
gationen in meiner Dienststelle empfangen. Bereits seit 
einigen Jahren existiert ein regelmäßiger Erfahrungsaus- 
tausch mit Datenschutzexperten aus Japan. So informier- 
ten sich Experten des Nomura-Research-lnstituts und 
Professoren verschiedener japanischer Universitäten über 
das Konzept des Datenschutzes in Deutschland und die 
nationalen Erfahrungen mit dem Europäischen Recht. Mit 
einer Delegation des Justizministeriums der Republik 
China (Taiwan) wurden praxisrelevante Fragen bespro- 
chen, etwa zur Wahrnehmung der Datenschutzaufsicht in 
Deutschland oder zur Einwilligungserklärung der Betrof- 
fenen in die Datenverarbeitung im Internet. 

Zur Unterstützung von Datenschutzbehörden in den Kan- 
didatenländem der EU sowie im Rahmen der Europäischen 
Nachbarschaflspolitik (ENPl) haben Mitarbeiter meiner 
Dienststelle an Veranstaltungen mitgewirkt, die als Teil des 
Informationsaustausches und der technischen Verwaltungs- 
hilfe - dem sog. TAIEX-Programm - von der Europäi- 
schen Kommission organisiert wurden. Auf Anfrage der 
Europäischen Kommission habe ich zudem Delegationen 
der Datenschutzbehörden aus Kroatien, der Republik Mol- 
dau sowie der Republik Mazedonien (FYROM - Former 
Yugoslav Republic of Macedonia) sowohl in meiner 
Dienststelle in Bonn als auch in meinem Verbindungs- 
büro in Berlin empfangen, um diese nicht nur über den 
Datenschutz in Deutschland zu unterrichten, sondern 
auch um mit ihnen beiderseits aktuelle datenschutzrecht- 
liche Fragen zu diskutieren. Dem Erfahrungsaustausch 
diente auch der einwöchige Besuch einer Gruppe von An- 
gehörigen der bulgarischen Datenschutzbehörde im Rah- 
men des Leonardo-da- Vinci-Programmes der EU. 

Es bleibt mir ein wichtiges Anliegen, den Aufbau neuer 
Datenschutzbehörden im Ausland mit den in Deutschland 
gewonnenen Erfahrungen zu unterstützen und dabei im 
Dialog mit den ausländischen Partnern auch selbst neue 
Einsichten zu gewinnen. 

15.5 Personal 

ln den vergangenen Jahren bewegte sich der Aufgaben- 
und Arbeitsanfall auf einem hohen Niveau. Pro Monat 
haben sich im Berichtszeitraum durchschnittlich 408 Bür- 
gerinnen und Bürger mit Ihren Beschwerden und Fragen 
rund um den Datenschutz an mich gewandt - gegenüber 
der Vorperiode bedeutet dies ein Rückgang von 5 Pro- 
zent. 

Nachdem ich im Haushaltsjahr 2010 bereits über neue 
Stellen verfügen konnte, erhielt meine Dienststelle 
in 2012 zehn weitere Stellen, ganz überwiegend für das 
neue Aufgabengebiet SGB 11. Dadurch konnte das Perso- 
nalsoll von 77,5 Stellen im Jahr 2010 auf 86,5 Stellen in 
2012 erhöht werden. 


Durch das zusätzliche Personal kann meine Dienststelle 
ihre gesetzlichen Aufgaben besser bewältigen und neue 
Aufgaben in Angriff nehmen. Der Stellenzuwachs machte 
es zudem möglich, die Organisation meiner Dienststelle 
endlich an aktuelle Entwicklungen anzupassen und mir 
zugewiesene neue Aufgabengebiete besser abzudecken. 
Gleichwohl ist die Arbeitsbelastung immer noch extrem 
hoch, insbesondere auch durch notwendige Mitarbeit bei 
der Rechtsetzung im nationalen und europäischen Rah- 
men und durch gestiegene Anforderungen bei der Bera- 
tung der öffentlichen Stellen des Bundes. 

15.6 Meine Präsenz In Berlin 

Das 2008 in der Friedrichstraße 50 in Berlin-Mitte einge- 
richtete Verbindungsbüro koordiniert die Termine in 
Berlin, insbesondere an den Ausschusssitzungen des 
Deutschen Bundestages und Besprechungen der Bundes- 
ressorts in Berlin nehmen häufig Mitarbeiter des Verbin- 
dungsbüros teil. Es ist mit 15 Mitarbeiterinnen bzw. Mit- 
arbeitern besetzt, wobei jedes Referat meiner Dienststelle 
mit mindestens einem Mitarbeiter vertreten ist. 

Das Verbindungsbüro hat sich hervorragend bewährt. Seit 
Inbetriebnahme konnten vermehrt die Termine in Berlin 
von Mitarbeitern des Verbindungsbüros wahrgenommen 
werden, wodurch eine wirkungsvollere und direktere 
Teilnahme am politischen Geschehen in der Bundes- 
hauptstadt erreicht wurde. Der Dienstreiseaufwand mei- 
ner Bonner Diensfsfelle konnte so deutlich verringert 
werden. 

15.7 Forschung braucht Datenschutz, 
Datenschutz braucht Forschung! 

Forschungsaufträge für den Datenschutz und die Infor- 
mationsfreiheit führten zu wertvollen neuen Erkenntnis- 
sen. 

ln den Jahren 2011 und 2012 standen mir jeweils 
90 000 Euro für Forschungszwecke zur Verfügung. Hier- 
von konnten folgende Gutachten und Forschungsaufträge 
finanziert werden: 

- Informationsfreiheitsgesetz nnd der Schntz der Be- 
triebs- nnd Geschäftsgeheimnisse 

Bereits 2010 wurde das Forschungsprojekt mit dem 
Ziel, Zweck und Reichweite des Schutzes von Be- 
triebs- und Geschäftsgeheimnissen in den verschiede- 
nen Rechtsgebieten zu erarbeiten und einen prakti- 
schen Ansatz zur Lösung von Konflikten mit dem 
Anspruch auf Informationsfreiheit in Auftrag gegeben. 
2011 erfolgte eine Erweiterung des Forschungsauftra- 
ges. Das Forschungsprojekt konnte 2012 erfolgreich ab- 
geschlossen werden. Das Gutachten ist auf meiner In- 
temetseite unter www.informationsfreiheit.bund.de 
abrufbar. 

- Automatisierte Auswertung von Protokolldaten 

Bei diesem Forschungsprojekt sollte ein System ent- 
wickelt werden, mit dem automatisiert unautorisierte 
Zugriffe auf Datenbanken erkannt werden können. 
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Dabei sollten die Ausgangslage erfasst und die Anfor- 
derungen an ein solches System definiert werden. Zu 
Beginn wurde nach bestehenden Tools recherchiert, 
die diesen Anforderungen genügen. Das Forschungs- 
projekt konnte 2012 abgeschlossen werden. Zwar gibt 
es derzeit entsprechende Tools auf dem Markt, von de- 
nen erfüllt aber keins die Anforderungen vollständig. 

- Anpassung des Tools zur automatisierten Auswer- 
tung von Protokolldaten 

Dieses Forschungsprojekt setzt auf das vorausgegan- 
gene auf Wurden dort Anforderungen an ein Tool zur 
automatisierten Auswertung von Protokolldaten defi- 
niert, so geht es jetzt um bedarfsgerechte Weiterent- 
wicklung. Ein auf dem Markt existierendes Produkt 
erfüllt die gestellten Analyse- und Auswerteanforde- 
rungen zum großen Teil und erlaubt es auch, bedarfs- 
orientierte Anpassungen und Erweiterungen vorneh- 
men zu können. 

Die Implementierung von Plugins, um zusätzlichen 
Protokolldatenformate analysieren zu können, sowie 
die Erweiterung und Anpassung der Analysefunktio- 
nen und Implementierung dieser neuen Plugins in die 
ausgewählte Software wird im nun vergebenen Auf- 
trag vorgenommen. Ebenfalls werden Schulungsunter- 
lagen für die Software erstellt, um späteren Nutzem 
eine Einarbeitung zu erleichtern. 

Die in 2010 angestoßenen Forschungsprojekte zur 
„Erstellung eines Leitfadens zur Evaluation von Geset- 
zen“ und „PRIVIDOR - PRlvacy Violation DetectOR“ 
konnten erfolgreich abgeschlossen werden (vgl. 23. TB 
Nr. 14.6). 

15.8 BfDI als Ausbildungsbehörde 

Referendare, Praktikanten und Anwärter zeigen Interesse 
am Datenschutz. 

Das Interesse an Praktikumsaufenthalten in meiner 
Dienststelle ist auch 2011 und 2012 groß geblieben. Ins- 
besondere Studierenden der Rechtswissenschaften und 
Rechtsreferendaren, die sich für Fragen des Datenschut- 
zes und der Informationsfreiheit interessierten und prakti- 
sche Kenntnisse erwerben wollten, habe ich einen 
Einblick in die Aufgaben und Arbeitsweise einer Daten- 
schutzbehörde gewährt. 

Insgesamt haben im Berichtszeitraum 18 Studierende und 
Referendare Teile ihrer Ausbildung in meinem Hause ab- 
solviert. Darüber hinaus konnte ich vier Anwärtern des 
gehobenen Verwaltungsdienstes die Möglichkeit bieten, 
ihr Pflichtpraktikum in meiner Dienststelle abzuleisten. 

15.9 Gesund Im Job - der BfDI als 
Pllotbehörde 

Die Ergebnisse der Untersuchung sollen in ein betriebli- 
ches Gesundheitsmanagement einfließen. 

Der Gesundheitsbericht der Bundesregiemng 2012 zeigte 
beim Gesundheitsmanagement im öffentlichen Dienst 
Handlungsbedarf Dies nahm ich in Zusammenarbeit mit 


dem Bundesministerium des Inneren zum Anlass, in mei- 
ner Dienststelle zu untersuchen, welche Verbesserangs- 
möglichkeiten es zur Gesunderhaltung meiner Mitarbeite- 
rinnen und Mitarbeiter gibt. Die sich daraus ergebenden 
Lösungsvorschläge sollen anschließend in ein betriebli- 
ches Gesundheitsmanagement einfließen. Damit geht 
meine Dienststelle als Pilotbehörde mit gutem Beispiel 
voran. 

Beginnend im April 2012 wurden daher in verschiedenen 
Arbeitsgruppen Ideen und Lösungsvorschläge für ein ver- 
bessertes Gesundheitsmanagement erarbeitet. Ergebnisse 
gab es in unterschiedlichsten Bereichen, wie z. B. bei der 
Ergonomie, Arbeitssicherheit und IT-Ausstattung. Einige 
Ergebnisse, wie Headsets für Mitarbeiter, die viel telefo- 
nieren müssen, konnten sofort umgesetzt werden. Andere 
werden als regelmäßige Angebote in den nächsten Jahren 
in den Arbeitsalltag einfließen. 

16 Wichtiges aus zurückliegenden 
Tätigkeitsberichten 

1. 23. TB Nr. 2.3 Sie haben Post - Ablauf der Alt- 
regelung zur Nutzung personenbezogener Daten 
zu Werbezwecken 

Mit dem Inkrafttreten der Neuregelungen für den 
werblichen Umgang mit personenbezogenen Daten 
am 1. September 2009 wurde - jedenfalls dem 
Grundsatz nach - festgelegt, dass personenbezogene 
Daten nur mit Einwilligung des Betroffenen zu Zwe- 
cken der Werbung und des Adresshandels verarbeitet 
und weitergegeben werden dürfen. Leider gibt es 
viele Ausnahmen. Jedoch gestaltet sich die Datenver- 
arbeitung im Bereich des so genannten Listenprivi- 
legs, das für die Nutzung bestimmter Daten wie 
Name, Anschrift und Geburtsjahr nach wie vor nur 
ein Widerspruchsrecht vorsieht, mittlerweile transpa- 
renter. Der Betroffene muss nun bei der werblichen 
Ansprache darüber informiert werden, welche Stelle 
bei der Werbung für fremde Angebote für die Nut- 
zung der Daten verantwortlich ist bzw. wer die Daten 
im Fall einer Weitergabe erstmals erhoben hat. 

Für die Umstellung auf die neue Rechtslage hatte der 
Gesetzgeber der Werbewirtschaft eine Übergangsfrist 
von drei Jahren eingeräumt. Für Daten, die vor dem 
1. September 2009 erhoben wurden, galt daher die 
alte Rechtslage zunächst fort. Seit dem 3 1 . August 
2012 unterliegen nun auch diese Altdaten der neuen 
Regelung. 

Den Neuregelungen merkt man an, dass das Gesetz 
in der letzten Legislaturperiode im Eilverfahren ver- 
abschiedet und bis zuletzt immer wieder geändert 
und ergänzt wurde. Sie sind für den Bürger schwer 
verständlich und in der Praxis mit zahlreichen Ausle- 
gungsschwierigkeiten verbunden. 

Die Aufsichtsbehörden haben deshalb in der Ad-hoc- 
Arbeitsgruppe „Werbung und Adresshandel“ des 
Düsseldorfer Kreises unter Leitung des Bayerischen 
Landesamts für Datenschutzaufsicht praktische An- 
wendungshinweise erarbeitet, die den Unternehmen 
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und den Verbraucherinnen und Verbrauchern in wich- 
tigen Auslegungsfragen Rechtssicherheit beim Um- 
gang mit personenbezogenen Daten vermitteln. Die 
Anwendungshinweise sind im Internet abrufbar unter 
www.lda.bayem.de. 

2. 23. TB Nr. 3.6 Kein Überflieger: ELSTER-Online 

Über das ELSTER-Online-Portal kann der Steuer- 
pflichtige elektronisch Dokumente wie beispiels- 
weise seine Steuererklämng an die Finanzverwaltung 
übermitteln. Dabei handelt es sich um besonders sen- 
sible Daten, die dem Steuergeheimnis nach § 30 Ab- 
gabenordnung (AO) unterliegen. Die Möglichkeiten 
der elektronischen Kommunikation bestimmen sich 
nach § 87a AO. Neben der qualifizierten elektroni- 
schen Signatur ist nunmehr auch ein anderes sicheres 
Verfahren zugelassen, das ursprünglich bis zum 
31. Dezember 2012 befristet war. Die Befristung und 
auch die Verpflichtung zur Evaluierung für das andere 
sichere Verfahren (ELSTER-Online-Verfahren) wur- 
den nach Abschluss der Evaluiemng des ELSTER- 
Online-Verfahrens aufgehoben, da es sich als sicher 
und zuverlässig erwiesen habe (vgl. Bundesfags- 
dmcksache 17/5125 S. 49). Gesefzlich wurde klarge- 
sfellt, dass das andere sichere Verfahren den Daten- 
übermittler zu authentifizieren hat und die Integrität 
des elektronisch übermittelten Datensatzes gewähr- 
leisten muss (§ 87a Absatz 6 Satz 1 AO). 

Ich halte dies für unbefriedigend, denn die Gleich- 
stellung des „anderen sicheren Verfahrens“ mit der 
qualifizierten elektronischen Signatur berücksichtigt 
nicht die unterschiedlichen Sicherheitsstandards der 
Verfahren und führt letztlich zu einer Absenkung des 
Datenschutzniveaus. Die Hinnahme einer möglichen 
unsicheren elektronischen Kommunikation ist ange- 
sichts des hohen Schutzanspmches des Steuerge- 
heimnisses nach § 30 AO nicht akzeptabel. Ich werde 
darauf drängen, dass diesem Schutzanspruch entspre- 
chend Rechnung getragen wird. 

3. 23. TB Nr. 11.5.2 Reform von „Hartz IV“ - Bil- 
dungsgutscheine und Datenschutz 

Mit dem Urteil des Bundesverfassungsgerichts vom 
9. Febmar 2010 zu den Hartz IV-Regelsätzen 
(1 BvL 1/09, 1 BvL 3/09, 1 BvL 4/09) war dem Ge- 
setzgeber aufgegeben worden, für den Bedarf von 
Kindern und Jugendlichen künftig besondere Leis- 
tungen vorzusehen. Das entsprechende Gesetzge- 
bungsverfahren war seinerzeit noch nicht abgeschlos- 
sen. Inzwischen ist das Gesetz vom 24. März 2011 
(BGBl. 1 S. 453) rückwirkend zum 1. Januar 2011 in 
Kraft getreten. 

Im Gesetzgebungsverfahren wurde § 29 SGB 11 ge- 
genüber dem Referentenentwurf, auf den sich meine 
Ausführungen im 23. TB bezogen hatten, noch ein- 
mal modifiziert und die Leistungserbringung für 
Bildung und Teilhabe wurde nach § 28 SGB 11 voll- 
ständig auf den kommunalen Träger übertragen. Ins- 
besondere wurden personalisierte Gutscheine, bis da- 
hin eine Unterform der Sachleistungen, als neue 


Leistungsform in das SGB 11 und das SGB Xll einge- 
führt. Meine Forderung, als Alternative zu personali- 
sierten Gutscheinen dem Leistungsberechtigten auch 
die Möglichkeit zur direkten Zahlung an den Anbie- 
ter einzuräumen, wurde zwar dem Grundsatz nach 
berücksichtigt. Jedoch bestimmt der kommunale Trä- 
ger und nicht der Leistungsberechtigte die Form der 
Leistungserbringung. Damit wird in bestimmten Fall- 
konstellationen eine Bekanntgabe von Sozialdaten 
gegenüber Dritten in Kauf genommen. Ich bedauere, 
dass die Gutscheinlösung nicht durchgängig neutral 
gestaltet wurde. 

4. 23. TB Nr. 11.5.4 Übermittlung von Sozialdaten an 
potentielle Arbeitgeber 

Ich hatte darüber berichtet, dass Bewerber trotz einer 
anonymen Veröffentlichung ihres Stellengesuchs in 
der JOBBÖRSE der BA Anrufe von potentiellen Ar- 
beitgebern (Zeitarbeitsfirmen) erhalten hatten. Wie 
sich herausstellte, konnten die Firmen, die über einen 
Arbeitgeber-Account in der JOBBÖRSE verfügen, 
bei einem Vermittlungsvorschlag auch die bei der BA 
freiwillig angegebenen Kontaktdaten wie E-Mail- 
Adresse und Telefonnummer der Bewerber einsehen. 
Die BA hat mir daraufhin zugesichert, das System so 
zu ändern, dass die Kontaktdaten nur noch bei einer 
entsprechenden Einwilligung des Bewerbers für die 
Arbeitgeber sichtbar sind. 

Ich begrüße die im April 2012 erfolgte Umsetzung 
durch eine technische Änderung. Seit diesem Zeit- 
punkt sind die freiwillig angegebenen Kontaktdaten 
von Bewerbern nun auch im Vermittlungsprozess für 
potentielle Arbeitgeber mit eigenem Arbeitgeber- Ac- 
count nicht mehr ohne Einwilligung einsehbar. Bei 
einer Kontrolle vor Ort in einer Agentur für Arbeit 
konnte ich mich davon überzeugen, dass die Erfas- 
sung der Kontaktdaten für eine exfeme Kommunika- 
tion tatsächlich nur nach vorheriger ausdrücklicher 
Einwilligung des Bewerbers erfolgt. 

5. 21. TB Nr. 6.7 Novellierung der Prozesskostenhilfe 

ln meinem 21. TB hatte ich über einen Bundesrats- 
entwurf zur Novellierung der Prozesskostenhilfe be- 
richtet. Da das Gesetzgebungsverfahren in der 
16. Legislaturperiode nicht abgeschlossen werden 
konnte, brachte der Bundesrat den Entwurf Anfang 
2010 erneut ein. Zentrales Anliegen war die Reduzie- 
rung der Ausgaben für die Prozesskostenhilfe. Der 
Entwurf sah umfangreiche Auskunftsrechte des Ge- 
richts über den Antragsteller (z. B. bei Finanzämtern, 
Arbeitgebern und Sozialleistungsträgem) vor. Vo- 
raussetzung sollte zwar eine Einwilligung des An- 
tragstellers sein, der Antrag sollte jedoch allein auf- 
grund einer fehlenden Einwilligung abgelehnt 
werden können. Dies sah ich nach wie vor kritisch, 
da der Antragsteller mangels Freiwilligkeit i. S. v. 
§ 4a BDSG faktisch zur Einwilligung genötigt wor- 
den wäre (vgl. 21. TB Nr. 6.7). Auch die Bundesre- 
gierung griff diese Bedenken in ihrer Stellungnahme 
zum 21. TB teilweise auf 
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Auf meinen Vorschlag hin wurden in dem vom Bun- 
desjustizministerium im März 2012 vorgelegten Ge- 
setzentwurf nicht nur der Ablehnungsgrund, sondern 
auch die pauschale Abfrage der Einwilligung bei An- 
tragstellung ersatzlos gestrichen. Das Gericht muss 
im Einzelfall prüfen, ob die Auskunft eines Dritten 
zur Prüfung der wirtschaftlichen Verhältnisse des An- 
tragstellers erforderlich ist und dann ggf die Einwil- 
ligung beim Antragsteller anfordem. Wird diese nicht 
erteilt, darf das Gericht die Prozesskostenhilfe nicht 
pauschal ablehnen, sondern muss die Umstände des 
Einzelfalles berücksichtigen, ln der Begründung wird 
zudem klargestellt, dass die Anforderung von Bele- 
gen beim Antragsteller Vorrang vor der Auskunfts- 
einholung bei Dritten hat. Auf diese Weise wird dem 
Grundsatz der Direkterhebung Rechnung getragen. 
Das Gesetzgebungsverfahren war bei Redaktions- 
schluss noch nicht abgeschlossen. 

6. 23. TB Nr. 9.3 Einführung der elektronischen 
Lohnsteuerkarte 

Die Einführung der elektronischen Lohnsteuerkarte 
verläuft alles andere als reibungslos. Bereits der 
Starttermin hat sich aufgrund technischer Probleme 
um ein Jahr verzögert, erst zum 1. Januar 2013 ist es 
zur beabsichtigten Umstellung von der Papierlohn- 
steuerkarte auf das elektronische Verfahren gekom- 
men. 

Zu technischen Problemen kam es bei der Übermitt- 
lung nach § 39e Absatz 2 Satz 2 Einkommensteuer- 
gesetz (EStG) von bislang bei den Meldebehörden als 
örtlichen Landesfinanzbehörden gespeicherten steu- 
erlich relevanten Daten an das BZSt, die dieses zum 
Aufbau der ELStAM-Datenbank benötigt. So wurden 
personenbezogene Daten von Steuerpflichtigen (An- 
gaben zu Familienangehörigen und zur Religionszu- 
gehörigkeit) nicht richtig zusammengeführt, da u. a. 
Daten aus dem Jahre 2010 zugrunde gelegt wurden, 
die in zahlreichen Fällen nicht mehr aktuell waren. 
Deswegen habe ich das Bundesministerium der 
Finanzen (BMF) um Aufklärung sowie Behebung der 
aufgetretenen Fehler gebeten. Es ist sicherzustellen, 
dass die übermittelten personenbezogenen Daten 
richtig zugeordnet und die elektronischen Lohnsteu- 
erabzugsmerkmale korrekt gebildet werden. Das 
BMF hat mir Maßnahmen zur Verbesserung der Da- 
tenqualität zugesagt. Insbesondere soll dabei das 
BZSt mit der jeweils zuständigen Meldebehörde 
Kontakt aufnehmen, um eine Korrektur der konkret 
betroffenen Daten zu gewährleisten. 

Die vom BMF zugesicherte Ausarbeitung eines IT- 
verfahrensspezifischen Sicherheitskonzepts, die ich 
bereits im 23. TB (Nr. 9.3) angemahnt hatte, steht im- 
mer noch aus. Ich erwarte jetzt eine zügige Umset- 
zung dieses Vorhabens und werde das Verfahren wei- 
terhin kritisch begleiten, um einen besseren Schutz 
der in der zentralen Steuerdatenbank gespeicherten 
sensiblen Lohnsteuerdaten durchzusetzen. 


7. 23. TB Nr. 9.4 Verankerung des Auskunftsrechts 
in der Abgabenordnung 

Die von den Datenschutzbeauftragten des Bundes 
und der Länder bereits seit Jahrzehnten erhobene 
Forderung auch gegenüber der Steuerverwaltung in 
der Abgabenordnung (AO) ein datenschutzrechtli- 
ches Auskunftsrecht des Betroffenen festzuschreiben, 
blieb auch im Berichtszeitraum unerfüllt. Damit ver- 
weigert sich die Finanzverwaltung hartnäckig der 
Notwendigkeit, die Rechtsprechung des Bundesver- 
fassungsgerichts umsetzt (BVerfG, Beschluss vom 
10. März 2008, IBvR 2388/03) für ihren Bereich 
umzusefzen. Dabei hatte der Deutsche Bundestag be- 
reits vor Jahren, in seinen Entschließungen zu mei- 
nem 20. und 21. Tätigkeitsbericht (Bundestagsdruck- 
sache 16/12271, Nr. 5; Bundestagsdrucksache 16/4882, 
Nr. 10) die Bundesregierung aufgefordert, die AO 
um einen entsprechenden Anspruch zu erweitern. 
Das BMF hatte in dieser Legislaturperiode zwar ei- 
nen entsprechenden Entwurf eingebracht, doch dieser 
ist liegen geblieben und wird - soweit ersichtlich - 
auch nicht mehr aktiv verfolgt. Eine Umsetzung des 
Auskunftsrechts in der AO würde auch die Entwick- 
lung im Bereich des Informationsfreiheitsrechts des 
Bundes und der Länder nachvollziehen (vgl. Bundes- 
verwaltungsgericht, Beschluss vom 14. Mai 2012, 
7 B 53.11). Es besteht also nach wie vor erheblicher 
gesetzgeberischer Handlungsbedarf 

8. 22. TB Nr. 10.2.4 und 23. TB Nr. 15.7 Verstöße von 
Krankenkassen bei der Vermittlnng privater Zu- 
satzversicherungen 

Aufgrund der außergewöhnlich schweren daten- 
schutzrechtlichen Verstöße zweier gesetzlicher Kran- 
kenkassen bei der Kooperation mit jeweils einer pri- 
vaten Krankenversicherung bei der Vermittlung 
privater Zusatzversicherungen hatte ich sowohl ge- 
gen Mitarbeiter beider gesetzlicher Krankenkassen 
als auch gegen Mitarbeiter des privaten Versiche- 
rungsuntemehmens bei den zuständigen Staats- 
anwaltschaften Strafantrag nach § 85a Absatz 2 
SGB X wegen Vergehen nach § 85a Absatz 1 i. V. m. 
§ 85 Absatz 2 Nummern 1, 2, 3 und 5 SGB X ge- 
stellt. Die gesetzlichen Krankenkassen hatten einer 
mit ihnen verbundenen privaten Krankenversiche- 
rung Zugang zu zum Teil sehr sensiblen Daten ihrer 
Versicherten verschafft. In beiden Fällen haben die 
Staatsanwaltschaften die Verfahren nach teilweise 
mehr als fünfjähriger Verfahrendauer trofz meiner 
Einsprüche eingesfellt. Die Begründungen der Staats- 
anwaltschaften waren zum Teil abenteuerlich. 

9. 23. TB Nr. 11.1.8 Anbindung mediziniscber Sub- 
systeme an ein Klinikinformationssystem 

Im Rahmen meiner datenschutzrechtlichen Beratung 
der DRV Bund bei der geplanten Anbindung medizi- 
nisch-technischer Subsysteme an das eigene Klinik- 
informationssystem KLInet habe ich mich bei einem 
weiteren Beratungsbesuch in einem Reha-Zentrum 
der DRV Bund von den zwischenzeitlich getroffenen 
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Datenschutz- und Datensicherheitsmaßnahmen über- 
zeugt. Dabei habe ich weiteren Handlungsbedarf auf- 
gezeigt und erneut konkrete datenschutzrechtliche 
Verbesserungshinweise und Empfehlungen gegeben. 
Diese betrafen sowohl den aktuellen Umgang mit 
personenbezogenen Daten und die Nutzung der ver- 
schiedenen medizinisch-technischen Geräte im be- 
suchten Reha-Zentrum als auch grundsätzlich den 
künftigen Einsatz solcher medizinischer Subsysteme 
und deren Vernetzung mit KLlnet. Meine weitere be- 
ratende Beteiligung ist sichergestellt. 

10. 23. TB Nr. 11.1.5 Verfahren zur Erhebung von Zu- 
satzbeiträgen und Datenerhebung zum Sozialaus- 
gleich - das GKV-Finanzierungsgesetz 

Ich hatte über die mit dem GKV-Finanzierungsgesetz 
den Krankenkassen neu auferlegte Aufgabe berichtet, 
den Sozialausgleich durchzuführen. Meine Kritik 
zielte darauf, dass hierdurch der Arbeitgeber Kennt- 
nis davon erlangt, wenn ein Beschäftigter über wei- 
tere beitragspflichtige Einnahmen verfügt, obwohl 
dieser unter Umständen ein Interesse an der Geheim- 
haltung dieser Information hat. Meine Bedenken ha- 
ben sich in der Praxis bestätigt. So haben mich einige 
Beschwerden von betroffenen Arbeitnehmern er- 
reicht. Diese berichteten mir u. a., die Rückmeldun- 
gen der Krankenkassen an die Arbeitgeber enthielten 
zu einem hohen Prozentsatz Daten von Arbeitneh- 
mern, die nicht bei diesem Arbeitgeber beschäftigt 
seien. 

11. 22. TB Nr. 6.1.2 und 23. TB Nr. 15.6 „Statuskenn- 
zeichen auf der Krankenversichertenkarte“ 

Ich hatte darüber berichtet, dass die Krankenversi- 
chertenkarte durch den Aufdruck einer bestimmten 
Ziffer (Ziffemstelle 4) in codierter Form die Statuser- 
gänzung „Sozialhilfeempfänger“ ausweist, ohne dass 
es hierfür eine Rechtsgrundlage gibt. Obwohl mir 
versichert worden war, der GKV-Spitzenverband 
werde einen Verzicht auf die Statuskennzeichen prü- 
fen, hat mir das BMG mittlerweile mitgeteilt, dass 
eine derartige Prüfung nicht stattgefunden hat. ln 
demselben Schreiben hat mir das BMG allerdings 
auch mitgeteilt, mit der Ablösung der Krankenversi- 
chertenkarte durch die elektronische Gesundheits- 
karte (eGK) werde sich das datenschutzrechtliche 
Problem in dieser Weise nicht mehr stellen (vgl. 
Nr. 4.1). Bei der eGK wird das Merkmal „Sozialhil- 
feempfänger“ nicht mehr sichtbar auf dem Karten- 
körper aufgedruckt. Mit dem weiteren Aufbau der 
Telematikinfrastruktur werde es darüber hinaus im 
zugriffsgeschützten Teil der Versichertenstammdaten 
nach § 291 Absatz 2 Satz 1 SGB V gespeichert wer- 
den können. 

12. 23. TB Nr. 5.8 Elektronischer Fahrzeugdatenspei- 
cher 

Eine Vielzahl elektronischer Fahrerassistenzsysteme 
speichert temporär oder permanent technische Daten. 
Diese sollen hauptsächlich den störungsfreien und si- 
cheren Betrieb des Fahrzeugs im Straßenverkehr ge- 


währleisten. Daneben erleichtern sie der Werkstatt im 
Reparatur- oder Wartungsfall, Fehler zu erkennen 
und zu beseitigen. Mit einem universellen Diagnose- 
gerät lassen sich die Daten über die On-Board-Dia- 
gnoseschnittstelle auslesen. Werden sie mit weiteren 
Daten (z. B. Kundendaten) verknüpft, lässt sich ein 
Personenbezug hersteilen und die neu gewonnenen 
Informationen könnten für andere Zwecke verwendef 
werden, ln der Regel hat der Fahrzeugnutzer jedoch 
keine Kenntnis, dass und welche Daten in seinem 
Fahrzeug erhoben, verarbeitet und gespeichert wer- 
den. 

Zur Verbesserung der Transparenz für Fahrer und 
Halfer hat der Düsseldorfer Kreis die Arbeitsgruppe 
„Fahrzeugdatenspeicher“ eingerichtet. Die Daten- 
schutzaufsichtsbehörden von Bund und Ländern un- 
ter der Leitung des Bayerischen Landesamts für Da- 
tenschutzaufsicht haben zusammen mit dem Verband 
der Automobilindustrie eine Musterinformation über 
Datenspeicherung in Kraftfahrzeugen entwickelt, die 
künftig in die Betriebsanleitung von neuen Fahrzeu- 
gen aufgenommen wird. Durch diese zusätzliche In- 
formation werden Halter und Fahrer besser darüber 
informiert, welche personenbezogenen Daten in ih- 
ren Fahrzeugen gespeichert sind. 

Wer über diese Information hinaus detailliert wissen 
möchte, welche Daten zu welchem Zweck aus sei- 
nem Fahrzeug ausgelesen werden können, muss sich 
an seine Kfz- Werkstatt oder den Fahrzeughersteller 
wenden. 

13. 23. TB Nr. 16 zu Datenschutz am Pranger - wer- 
den Forschungsergebnisse zensiert? 

Das Bundesinstitut für Sportwissenschaft (BlSp) 
hatte ein Forschungsprojekt mit dem Thema Doping 
unter historisch-soziologischen und ethischen Aspek- 
ten ausgeschrieben, das von der Humboldt-Universi- 
tät in Berlin (HU) und der Westfälischen Wilhelms- 
Universität in Münster durchgeführt wird. Das Vor- 
haben konnte bislang nicht abgeschlossen werden, 
weil die HU aus verschiedenen Gründen ihren Teil- 
beitrag nicht vollständig erbracht hat. ln diesem Zu- 
sammenhang ist dem BlSp vorgeworfen worden, es 
verbiete den Forschem die Nennung von Personen, 
die nach deren Überzeugung entweder als Sportler 
oder Ärzte aktiv Doping betrieben oder als Sport- 
funktionäre oder Politiker Doping gefördert oder zu- 
mindest toleriert haben sollen. Der Datenschutz 
werde als Insftument benutzt, um unliebsame Ergeb- 
nisse zu verhindern. 

Das BlSp hatte der HU allerdings nicht verboten, Na- 
men zu nennen, sondern nur auf die geltende Rechts- 
lage aufmerksam gemacht. Nach § 40 Absatz 3 
BDSG dürfen Forscher personenbezogene Daten nur 
veröffentlichen, wenn entweder der Betroffene einge- 
willigt hat oder dies für die Darsfellung von For- 
schungsergebnissen über Ereignisse der Zeitgeschichte 
unerlässlich ist. Meines Wissens liegen keine Einwil- 
ligungen vor. Die notwendige Bewertung der Uner- 
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lässlichkeit im Einzelfall hat die HU bislang nieht 
vorgenommen. Von einer Zensur kann daher keine 
Rede sein. Vielmehr führt § 40 Absatz 3 BDSG zu ei- 
nem verhältnismäßigen Ausgleieh zwisehen den Per- 
sönliehkeitsreehten der Betroffenen auf der einen 
Seite und der Forsehungsfreiheit sowie dem legiti- 
men öffentliehen Interesse an Aufklärung über Ge- 
sehehnisse der Zeitgesehiehte auf der anderen Seite. 

Die teehniseh-organisatorisehen Prozesse zur Daten- 
sieherheit, die anlässlieh des Forsehungsprojektes 
initiiert wurden, gestalteten sieh allerdings sehwierig. 
So war hinsiehtlieh des IT-Sieherheitskonzeptes 
lange nieht klar, dass das BlSp aufgrund seiner infra- 
strukturellen Anbindung an das Statistisehe Bundes- 
amt von diesem abhängig ist. Aufgrund dortiger, 
noeh andauernder Umstrukturierungen fehlt bislang 
ein aktuelles IT-Sieherheitskonzept. Aueh das vorge- 
legte Datensehutzkonzept war verbesserungswürdig, 
weil nur unzureiehende teehniseh-organisatorisehe 
Maßnahmen naeh der Anlage zu § 9 BDSG getroffen 
oder besehrieben worden waren. Das Bewusstsein für 
die datenschutzreehtliehe Verantwortliehkeit des 
Auftraggebers eines Forsehungsprojektes ist dureh 
die Zusammenarbeit in diesem Projekt gestärkt wor- 
den. 

14. 23. TB Nr. 8.5.3 Änderung des Stasi-Unterlagen- 
Gesetzes 

leh hatte darüber beriehtet, dass die im Stasi-Unterla- 
gen-Gesetz (StUG) vorgesehene Mögliehkeit, Stasi- 
Unterlagen zur Überprüfung bestimmter Personen 
auf eine frühere Stasi-Tätigkeit zu verwenden, bis 
Ende 2019 verlängert werden sollte. Die entspre- 
ehende Gesetzesänderung, mit der zugleieh aueh der 
überprüfbare Personenkreis im öffentliehen Dienst 
wieder erweitert wurde, ist inzwisehen in Kraft getre- 
ten (8. StUÄndG vom 22. Dezember 2011, BGBl. 1 
S. 3106). 

Leider wurde meine Empfehlung, dieses Gesetzge- 
bungsverfahren aueh dazu zu nutzen, im StUG vor- 
handene Regelungslüeken zur Auftragsdatenverar- 
beitung zu sehließen, nieht umgesetzt. Im Rahmen 
meiner Beratungstätigkeit beim BStU hatte ieh 
Reehtsunsieherheit bei Fragen der Auftragsdatenver- 
arbeitung festgestellt, da § 41 Absatz 3 StUG hierfür 
keine hinreiehenden Verfahrensregelungen enthält. 
Erforderlieh wäre eine Bestimmung, die die umfas- 
senden verfahrensmäßigen Absieherungen des § 11 
Absatz 1 und 2 BDSG für analog anwendbar erklärt. 
Für eine entspreehende Ergänzung des StUG werde 
ieh mieh aueh weiterhin einsetzen. 

leh bedauere außerdem, dass im Zuge des Gesetzge- 
bungsverfahrens die zuvor im StUG enthaltenen Re- 
gelungen zum Kopiersehutz und anderen teehniseh- 
organisatorisehen Sieherungsmaßnahmen bei perso- 
nenbezogenen Intemetveröffentliehungen des BStU 
ersatzlos gestriehen wurden. Diese Bestimmungen 
waren - trotz eines in der Praxis des BStU teilweise 
eher geringen Anwendungsbereiehes - angesiehts der 


besonderen Eingriffsqualität einer Intemetveröffent- 
liehung in das Persönliehkeitsreeht datensehutzreeht- 
lieh von wesentlieher Bedeutung. 

15. 23. TB Nr. 8.2.1 Änderung des Gesetzes über das 
Ausländerzentralregister 

ln meinem letzten Tätigkeitsberieht hatte ieh über 
den Beginn des Gesetzgebungsverfahrens zur Umset- 
zung des EuGH -Urteils „Huber“ (Urteil vom 16. De- 
zember 2008, C-524/06) beriehtet. Der Europäisehe 
Geriehtshof hatte die Speieherung von Daten zu 
Unionsbürgem in einem zentralen Register wie dem 
Ausländerzentralregister (AZR) sowie deren Über- 
mittlung an andere Behörden nur unter engen Voraus- 
setzungen für zulässig erklärt. Der vom BMI zu- 
näehst vorgelegte Referentenentwurf zur Änderung 
des Gesetzes über das Ausländerzentralregister 
(AZRG) setzte diese Vorgaben nur unzureiehend um. 

Im Zuge der Ressortabstimmung, an weleher ieh in- 
tensiv beteiligt war, hat der Entwurf deutliehe Ver- 
besserungen erfahren. Der Umfang der zu Unions- 
bürgem im AZR gespeieherten Daten wurde 
reduziert (z. B. wurde auf die Speiehemng des Lieht- 
bildes verziehtet) und die Mögliehkeit der Übermitt- 
lung dieser Daten ausdrüeklieh auf ausländer- oder 
asylreehtliehe Zweeke und an mit solehen Aufgaben 
betraute Behörden besehränkt. Außerdem dürfen 
Gmppenauskünfte über Unionsbürger nieht erteilt 
werden. Das Gesetz wurde inzwisehen von Bundes- 
tag und Bundesrat besehlossen (Bundestagsdraek- 
saehe 17/11051, 17/11364) und soll neun Monate 
naeh seiner Verkündung in Kraft treten, leh werde 
mieh für eine zeitnahe teehnisehe Umsetzung der Än- 
demngen im AZR einsetzen. 

Erfreulieherweise wurde dieses Gesetzgebungsver- 
fahren aueh dazu genutzt, eine Forsehungsklausel für 
das Bundesamt für Migration und Flüehtlinge 
(BAMF) in das AZRG aufzunehmen und damit einer 
langjährigen datensehutzreehtliehen Forderung Reeh- 
nung zu tragen (vgl. 21. TB Nr. 7.1.3). Damit wird 
die Nutzung von AZR-Daten für die wissensehaftli- 
ehe Begleitforsehung des BAMF auf eine eindeutige 
bereiehsspezifisehe Reehtsgmndlage gestellt. 

16. 23. TB Nr. 8.2.2 Elektronischer Aufenthaltstitel 

Der elektronisehe Aufenthaltstitel (eAT) im Seheck- 
kartenformat, der die bislang als Klebeetikett im Rei- 
sedokument eingefügten Aufenthaltstitel ersetzt, 
wird seit dem 1. September 2011 von den Ausländer- 
behörden ausgegeben. Entsprechend den europäi- 
schen Vorgaben (Verordnung (EG) Nr. 380/2008 vom 
18. April 2008) und vergleichbar dem neuen elektro- 
nischen Personalausweis (nPA) enthält der eAT einen 
Chip, auf dem ein digitales Lichtbild und zwei Fin- 
gerabdrücke des Inhabers als biometrische Merkmale 
gespeichert werden. Anders als beim nPA ist die Auf- 
nahme der Fingerabdrücke beim eAT allerdings obli- 
gatorisch. Als freiwillige Zusatzfunktion verfügt der 
eAT - wie der nPA - über die Möglichkeit des elek- 
tronischen Identitätsnachweises (elD), mit dem der 
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Inhaber sich im Internet oder z. B. auch an Verkaufs- 
automaten ausweisen kann (vgl. Nr. 2.3.4, 8.5 und 
23. TB Nr. 3.2). 

Wie bereits im letzten Tätigkeitsbericht dargelegt, 
habe ich mich mit Blick auf die gespeicherten bio- 
metrischen Merkmale und die elD-Funktion für ein 
hohes Datenschutz- und Datensicherheitsniveau beim 
eAT eingesetzt. Ich begrüße, dass das Gesetz zur An- 
passung des deutschen Rechts an o. g. EG- Verord- 
nung (Gesetz vom 12. April 2011, BGBl. 1 S. 610) 
sowie die entsprechende Rechtsverordnung (Verord- 
nung vom 22. Juli 2011, BGBl. 1 S. 1530) dies jetzt 
u. a. durch Verweise auf die bereits für den nPA gel- 
tenden datenschutzrechtlichen Bestimmungen sicher- 
stellen. 

17. 23. TB Nr. 6.11 Mail Sampling Unit, Sendnngs- 
fotografien 

Bereits im 23. Tätigkeitsbericht hatte ich über die 
Abrechnungsverfahren im internationalen Postver- 
kehr und die von der Deutschen Post AG durchge- 
führten Stichprobenerhebungen mittels Sendungsfo- 
tografien berichtet. Damals stand noch eine Antwort 
der Deutschen Post AG aus, so dass keine abschlie- 
ßende Bewertung möglich war. Hieran hat sich nichts 
geändert, auch wenn mir inzwischen weitere Er- 
kenntnisse vorliegen. 

Der internationale Postverkehr hat sich auf ein 
(quasi-standardisiertes) Verfahren zum Ausräumen 
von etwaigen Unstimmigkeiten in der Abrechnung 


geeinigt. Dieses Verfahren basiert zum größten Teil 
auf einem Parameter, der die Menge von bestimmten 
Sendungen pro Kilogramm („Items per Kilo“) angibt. 
Kommt es nun im Postaustausch zu Unstimmigkei- 
ten, wird genau dieser Wert angezweifelt und die 
Postuntemehmen versuchen, ihre Angaben zu bele- 
gen. An dieser Stelle haben sich die Sendungsfoto- 
grafien im internationalen Umfeld etabliert, um pro 
Raumeinheit Größe, Beschaffenheit und Anzahl der 
einzelnen Sendungen zu dokumentieren. Die Spei- 
cherung der Aufnahmen erfolgt in den anderen Län- 
dern in der Regel für ungefähr zwei Jahre, da die Ab- 
rechnungsläufe sehr langwierig sind. 

Meiner Aufforderung an die Deutsche Post AG zu 
prüfen, ob eine Beschränkung der Bildaufnahmen auf 
die relevanten Daten (Bestimmungsland, -ort und 
Postleitzahl) möglich ist, kam diese zwar nach, je- 
doch gibt es keine erfolgversprechenden Ergebnisse. 
Dies zeigte auch ein Besuch der Sortieranlage in 
Frankfurt. Ich habe deshalb erneut auf den Maßstab 
der Erforderlichkeit aufmerksam gemacht, der es ver- 
bietet, Namen von Absender und Adressat auf einer 
Fotografie zu erfassen. Die Deutsche Post AG kün- 
digte an, künftig die nicht benötigten Bildbereiche 
der Fotografien zu verpixeln (unkenntlich zu ma- 
chen), um gleichwohl ein angemessenes Maß der Be- 
weissicherung für die Abrechung im internationalen 
Postverkehr zu erreichen; ob es zur Umsetzung 
kommt, werde ich weiterhin beobachten. 




Deutscher Bundestag - 17. Wahlperiode 


- 185- 


Drucksache 17/13000 


Anlagen 


Anlage 1 


Hinweis für die Ausschüsse des Deutschen Bundestages 

Nachfolgend habe ich dargestellt, welche Beiträge dieses Berichtes für welchen Ausschuss von besonderem Interesse 
sein könnten: 


Ausschuss für Wahlprüfung, Immunität und Geschäfts- 
ordnung 


Auswärtiger Ausschuss 
Innenausschuss 


Sportausschuss 

Rechtsausschuss 

Finanzausschuss 

Ausschuss für Wirtschaft und Technologie 

Ausschuss für Ernährung, Landwirtschaft und 
Verbraucherschutz 

Ausschuss für Arbeit und Soziales 
Verteidigungsausschuss 

Ausschuss für Familie, Senioren, Frauen und Jugend 
Ausschuss für Gesundheit 

Ausschuss für Verkehr, Bau und Stadtentwicklung 

Ausschuss für Menschenrechte und Humanitäre Hilfe 

Ausschuss für Bildung, Forschung und 
Technikfolgenabschäfzung 

Ausschuss für Tourismus 

Ausschuss für die Angelegenheiten der 
Europäischen Union 

Ausschuss für Kultur und Medien 

Ausschuss für Kultur und Medien 
- Unterausschuss „Neue Medien“ - 


2.1.1, 2.4.4, 4.4 

2.1, 2.1.1, 2.1.2, 2.2.1, 2.4.1. 1, 2.3.4, 2.5.1, 2.5.2.1, 

2.5.2.2, 2.5.3, 2.5.3.3, 3.1, 3.2.1, 3.2.3, 3.2.4, 3.3.1, 3.3.3, 

3.3. 3.2, 3.4, 3.5, 3.5.1, 3.5.2, 3.5.3, 3.6, 4.3 bis 4.9, 5.1.2, 

5.2, 5.3, 6.1 bis 6.11, 7.1, 7.2, 7.3, 7.4.1, 7.4.4, 7.4.7, 

7.6.2, 7.7.1, 7.7.2, 7.7.3, 7.7.4, 7.7.5, 7.7.6, 8.1.1, 8.2, 8.4, 
8.5, 8.6, 8.7, 8.9, 8.10, 8.12, 8.13, 10.2, 10.3, 10.4, 13.1 
bis 13. 5, 16.1, 16.5, 16.15 


2.1.1, 2.2.1, 2.5.2.1, 2.5.2.2, 3.3.3, 3.3. 3.2, 3.5.3, 3.6, 6.1 
bis 6.11, 7.1, 7.4.1, 7.4.7, 7.7.3, 7.7.4, 

2.5.5. 4.3, 7.5.1, 7.10, 9.1 bis 9.7, 16.2, 16.6, 16.7 

2.1.1, 2.3.1, 3.4, 3.5.1, 3.5.3, 3.6, 4.3, 4.5, 4.6, 4.9, 5.3, 
5.4 bis 5.10, 6.1 bis 6.13, 10.1, 10.2, 10.3, 10.4, 10.5, 16.1 

2.1.1, 3.5.1, 4.3 bis 4.6, 4.9, 5.3, 5.4 bis 5.7, 5.8.2, 5.8.3, 
5.9, 5.10, 6.12, 6.13, 10.2, 10.3, 10.4, 16.1 

2.3.3, 4.2.1, 4.2.2, 4.2.3, 11.2, 11.4.1 bis 11.4.1, 12.1.1 bis 
12.2.4, 13.1 bis 13.5, 16.3, 16.4 

3.3. 3. 3, 14.1, 14.2, 14.2.3 bis 14.2.5, 14.3 

11.6, 14.2.1, 14.2.2 

2.3.2, 3.5.1, 4.1, 11.1 bis 11.1.10, 11.5.5, 11.5.6 

10.7, 10.8, 10.11, 13.4 


2.1.1, 3.5.1, 4.3 bis 4.5, 4.7, 4.9, 5.3 


2.1, 2.1.1, 2.1.2, 2.2.1, 2.4.1.3, 2.4.4, 2.5.1, 2.5.2.2, 
2.5.3.3, 4.4, 7.6.2 

5.4 bis 5.7, 5.8.2, 5.8.3, 5.9, 5.10, 8.8, 16.14 

2.1.1, 2.4.1. 3, 2.4.4, 4.5, 4.9, 5.3, 5.4 bis 5.7, 5.8.2, 5.8.3, 
5.9, 5.10 
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Übersicht über die durchgeführten Kontrollen, Beratungen und Informationsbesuche 


Auswärtiges Amt 

- Zentrale 

- Botschaft 

Bundeskanzleramt 

- Der Bundesbeauftragte für die Unterlagen des Staats- 
sicherheitsdienstes der ehemaligen DDR (BStU) 

- Bundesarchiv 

- Bundesnachrichtendienst 

Deutscher Bundestag 

- Verwaltung 

- Besucherdienst 

Bundesministerium des Innern 

- Ministerium 

- Bundesdruckerei 

- Bundesverwaltungsamt 

- Statistisches Bundesamt 

- Bundesanstalt für den Digitalfunk der Behörden und 
Organisationen mit Sicherheitsaufgaben (BDBOS) 

- Bundespolizeipräsidium 

- Bundespolizeidirektion Sankt Augustin 

- Bundespolizeidirektion Flughafen Frankfurt/Main 

- Bundespolizeiinspektion Flughafen München 

- Bundesanstalt Technisches Hilfswerk 

- Bundeskriminalamt (Wiesbaden, Meckenheim und 
Berlin) 

- Bundesamt für Verfassungsschutz 

- Bundesamt für Migration und Flüchtlinge 

- Bundesamt für die Sicherheit in der Informationstech- 
nik 

- Bundesamt für Bevölkerungsschutz und Katastro- 
phenhilfe 

- Bundeszentrale für politische Bildung 

Bundesministerium der Finanzen 

- Ministerium 

- Bundeszentralamt für Steuern 

- Zentrum für Informationsverarbeitung und Infroma- 
tionstechnik 


- ein Hauptzollamt 

- ein Zollamt 

- Zollkriminalamt (Köln-Dellbrück) 

- Bundesamt für zentrale Dienste und offene Vermö- 
gensfragen 

Bundesministerium für Arbeit und Soziales 

- Bundesagentur für Arbeit (Pilotprojekt eAkte; Halle) 

- zwei Agenturen für Arbeit 

- 19 Jobcenter (Stadt Koblenz, Kreis Euskirchen, Rhein- 
Erft, Mönchengladbach, Berlin Tempelhof-Schöneberg, 
Heidelberg, Erfurt, Bremen, StädteRegion Aachen, 
Oberhausen, Neuwied, team.arbeit.hamburg, Limburg- 
Weilburg, Landkreis Wittenberg, Osnabrück, Potsdam, 
Stadt Aschaffenburg, Saarbrücken, Kreis Pinneberg) 

- eine Familienkasse der Bundesagentur für Arbeit 

- Deutsche Rentenversicherung Bund 

Bundesministerium der Verteidigung 

- Zentrum für Nachwuchsgewinnung NORD 

- Militärischer Abschirmdienst 

Bundesministerium für Familie, Senioren, Frauen 
und Jugend 

- Bundesamt für Familie und zivilgesellschaftliche Auf- 
gaben 

Bundesministerium für Gesundheit 

- Ministerium 

- GKV Spitzenverband 

- Bundesversicherungsamt 

- Gemeinsamer Bundesausschuss 

- Paul-Ehrlich-lnstitut (PEl) 

- Bundesinstitut für Arzneimittel und Medizinpro- 
dukte (BfArM) 

Bundesministerium für Verkehr, Bau und 
Stadtentwicklung 

- Ministerium 

- Bundesamt für Bauwesen und Raumordnung 

- Bundesamt für Güterverkehr 

- Bundesanstalt für Straßenwesen 

- Eisenbahn-Bundesamt 
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- Kraftfahrt-Bundesamt 

- Luftfahrt-Bundesamt 

- Bundesanstalt für Gewässerkunde 

- Deutscher Wetterdienst 

- Zentrum für Informationsverarbeitung und Informa- 
tionstechnik (ZIVIT) 

- Wasser- und Schifffahrtsamt 

Bundesministerium für Wirtschaft und Technologie 

- Bundesnetzagentur für Elektrizität, Gas, Telekommu- 
nikation, Post und Eisenbahnen 

Bundesministerium für Ernährung, Landwirtschaft 
und Verhraucherschutz 

- Ministerium 

Postdienstunternehmen 

- ClTlPOSTGmbH 

- Deutsche Post AG 

- Zentrale 

- Briefverteilzentrum 

- Packstation 

- Zustellstützpunkt 

- Leipziger Volkszeitung 

- TNT Express GmbH 


Telekommunikationsunternehmen 

- Congstar GmbH 

- Deutsche Telekom AG 

- disquom fünktechnik GmbH 

- E-Plus Mobilflunk GmbH & Co. KG 

- Hansa Funktaxi eG 

- Kabel BW GmbH 

- mr. net group GmbH & Co. KG 

- NetCologne Gesellschaft für Telekommunikation mbH 

- Tchibo GmbH 

- Telefönica Germany GmbH & Co. OHG 

- United Internet AG (l&l, web.de, GMX) 

- Vodafone D2 GmbH 

Sonstige 

- Deutsche Angestellten Krankenkasse (DAK) 

- Techniker Krankenkasse 

- CityBKK 

- Hanseatische Ersatzkasse 

- Deutsche Betriebskrankenkasse 

- Audi Betriebskrankenkasse 

- Siemens Betriebskrankenkasse 

- Unfallkasse des Bundes 

- Berufsgenossenschaft Handel und Warendistribu- 
tion (BGHW) 
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Übersicht über Beanstandungen nach § 25 BDSG 


Bundesministerium des Innern 

- Verstoß des BfV gegen § 15 Abs. 1 und 2 BVerfSchG 
und die Vorgaben des Bundesverfassungsgerichts in 
Bezug auf die Auskunftserteilung . 

- Verstoß beim Bundesamt für Sicherheit in der Infor- 
mationstechnik gegen § 9 Satz 1 BDSG einschließlich 
Anlagen (fehlendes Berechtigungskonzept beim Schad- 
programm-Erkennungssystem; vgl. Nr. 4.7). 

- Verstoß des Bundesamtes für Verfassungsschutz (BfV) 
gegen § 14 Abs. 1 BVerfSchG (fehlende Dateianord- 
nung für eine Datei mit personenbezogenen Daten, die 
durch den verdeckten Einsatz technischer Mittel erho- 
ben worden sind - vgl. 21. TB Nr. 5.5.2). 

- Verstoß des BKA gegen § 20 Buchstabe 1 Abs. 2 
Satz 2 BKAG i. V. m. § 20 Buchstabe k Abs. 3 BKAG 
i. V. m. § 9 Satz 1 BDSG i. V. m. Satz 1, Satz 2 Nr. 2 
bis 5 sowie Satz 3 der Anlage zu § 9 Satz 1 BDSG 
(unzureichende technische und organisatorische Be- 
schränkung der zum Zweck der Quellen-TKÜ einge- 
setzten Software; vgl. Nr. 7.2.1). 

Bundesministerium der Finanzen 

- Verstoß des ZKA gegen § 20 Abs. 1 Zollfahndungs- 
dienstgesetz (ZFdG) i. V. m. § 9 Satz 1 BDSG i. V. m. 
Satz 1, Satz 2 Nr. 2 bis 5 sowie Satz 3 der Anlage zu 
§ 9 Satz 1 BDSG (unzureichende technische und orga- 
nisatorische Beschränkung der zum Zweck der Quel- 
len-TKÜ eingesetzten Software; vgl. Nr. 7.2.1). 

- Verstoß eines Hauptzollamtes gegen Nr. 253 der 
Dienstanweisung „Zugelassener Wirtschaftsbeteilig- 
ter - AEO“ vom 22. Juni 2010 mit der die Überprü- 
fung auf Beschäftigte in sicherheitsrelevanten Berei- 
chen begrenzt wird (vgl. Nr. 7.3.1). 


- Verstoß einer Familienkasse der Bundesagentur für 
Arbeit gegen § 24 Absatz 1 i. V. m. Absatz 4 BDSG 
wegen Verletzung meiner Kontroll- und Prüfbefug- 
nisse, da wiederholt Aktenübersendung an mich abge- 
lehnt wurde (vgl. Nr. 9.4). 

Bundesministerium für Verkehr, Bau und 
Stadtentwicklung 

Zwei Beanstandungen (vgl. Nr. 13.4) 

- Verstoß gegen die Regelungen der §§106 ff. BBG 
bzw. gegen § 12 Abs. 4 i. V. m. § 32 BDSG, 

- Verstoß gegen die Regelungen des § 12 Abs. 4 i. V. m. 
§ 32 Abs. 1 BDSG und § 7 Abs. 7 und 8 AZV 

Telekommunikationsunternehmen 
Vodafone D2 GmhH 

Verstoß gegen § 113 TKG wegen Übermittlung von Be- 
standsdaten an Sicherheitsbehörden ohne Rechtsgrund- 
lage (vgl. Nr. 7.4.6) 

Unfallkasse des Bundes 

Vier Beanstandungen (vgl. Nr. 13.4 und Nr. 11.4.2) 

- zwei Verstöße gegen die Regelungen der §§106 ff. 
BBG, 

- Verstoß gegen das in § 24 Abs. 4 BDSG normierte 
Unterstützungsgebot, 

- Verstoß gegen § 35 Abs. 1 SGB 1 (Sozialgeheimnis). 

Gesetzliche Krankenkassen 
Siemens BKK 

Beanstandung nach § 8 1 Abs. 4 SGB X i. V. m. § 25 
Abs. 1 BDSG wegen zahlreicher Verstöße gegen das So- 
zialgeheimnis nach § 35 Abs. 1 SGB 1 (vgl. Nr. 11.1.8). 
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14. 12. 2010 


Beschlussempfehlung und Bericht 

des Innenausschusses (4. Ausschuss) 


zu der Unterrichtung durch den Bundesbeauftragten für den Datenschutz 
und die Informationsfreiheit - Drucksache 16/12600, 17/790 Nr. 5 - 


Tätigkeitsbericht 2007 und 2008 des Bundesbeauftragten für den Datenschutz 
und die Informationsfreiheit - 22. Tätigkeitsbericht - 


A. Problem 

Der 22. Tätigkeitsbericht des Bundesbeauftragten für den Datenschutz und die Infor- 
mationsfreiheit stellt die Arbeitsschwerpunkte einschließlich der Kontrollergebnisse 
öffentlicher Stellen in den Jahren 2007 und 2008 überblicksartig dar. Eine grund- 
legende Modernisierung des Datenschutzrechts wird angemahnt. Der Datenschutz in 
der Privatwirtschaft einschließlich des Beschäftigtendatenschutzes wird umfassend 
problematisiert. 

Weitere Schwerpunkte setzt der Bericht bei gesetzgeberischen Maßnahmen im Be- 
reich der inneren Sicherheit, der internationalen Rechtsentwicklung, des technologi- 
schen Datenschutzes und des Datenschutzes im Internet. Der Umgang mit Geodäten 
eröffnet dabei eine neue Dimension von Datenschutzfragen. 

B. Lösung 

Einstimmige Annahme einer Entschließung und Kenntnisnahme der Unterrichtung 

C. Alternativen 

Keine 

D. Kosten 

Keine 
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Beschlussempfehlung 

Der Bundestag wolle beschließen, in Kenntnis der Unterrichtung auf Drucksache 16/12600 folgende Entschließung an- 
zunehmen: 


1. 

Der Deutsche Bundestag hat schon mehrfach die große Bedeutung eines 
präventiven technologischen Datenschutzes unterstrichen. Neue Tech- 
nologien haben bereits bei ihrer Entwicklung wie auch bei ihrem Ein- 
satz den Erfordernissen eines wirksamen Datenschutzes zu entsprechen. 
Gesetzliche Vorgaben sollten verpflichtend und technikneutral die 
Schutzziele bestimmen, damit der Datenschutz auch bei weiterem tech- 
nologischem Fortschritt gewährleistet und bereits im Entwicklungs- 
stadium von neuen Produkten und Geschäftsmodellen berücksichtigt 
wird. 

Noch nicht in allen Pnnkten erledigt 

- geeignete Ansätze sind z. B. de- 
Mail (vgl. 23. TB Nr. 3.3 [22. TB 
Nr. 6.6]), ePersonalausweis (vgl. 
23. TB Nr. 3.2 [22. TB Nr. 6.3.2]) 
oder Privacy impact assessments 
bei RFID (vgl. 23. TB Nr. 5.9 
[22. TB Nr. 6.7]) 

- die neue EU-Datenschutz- Verord- 
nung ist für die Entwicklung eines 
präventiven technologischen Da- 
tenschutzes entscheidend 

2. 

Der Deutsche Bundestag sieht mit Sorge, wie es die Vielzahl der Daten- 
verarbeitungen und das unaufhörliche Anwachsen von Datenbeständen 
den Bürgerinnen und Bürgern immer schwerer macht, ihr informatio- 
nelles Selbstbestimmungsrecht auch tatsächlich auszuüben. Eine Stär- 
kung der Betroffenenrechte ist deswegen dringend geboten. 

Eine engere Zweckbindung in den gesetzlichen Normen stärkt die 
Selbstbestimmung der Betroffenen über den Umgang mit ihren persön- 
lichen Daten und begegnet der zunehmenden Vernetzung unterschiedli- 
cher Datenbestände, die auch vom Bundesverfassungsgericht als große 
Gefahr für das Persönlichkeitsrecht gesehen wird. Eine Profilbildung, 
die ein besonderes Gefährdungspotenzial in sich birgt, ist nur dann zu- 
lässig, wenn sie durch eine entsprechende gesetzliche Grundlage er- 
laubt ist oder der Betroffene wirksam eingewilligt hat. Außerdem muss 
die Sammlung personenbezogener Daten ohne Kenntnis der Betroffe- 
nen wieder zur Ausnahme werden. 

Die verantwortlichen Stellen müssen grundsätzlich zu einer umfassen- 
den Information der Betroffenen verpflichtet werden. Außerdem müs- 
sen die Rechte auf Auskunft, Löschung, Sperrung oder Widerspruch in 
ihrer Ausübung und Durchsetzung bürgerfreundlicher werden und auch 
im Kontext des Internet einfach handhabbar und realisierbar sein. 

Dabei kommt dem Einsatz moderner Technologien (etwa dem Recht 
auf Auskunft über die gespeicherten Daten und einem Widerspruchs- 
recht, deren Ausübung auch auf elektronischem Wege zu ermöglichen 
ist) besondere Bedeutung zu. Die Bundesregierung wird aufgefordert, 
entsprechende Vorschläge zu erarbeiten. 

Nicht erledigt 

vgl. auch 23. TB Nr. 1.1, 1.2, 4.1 
und 4.2 

3. 

Der Deutsche Bundestag beobachtet sorgfältig die besondere Gefähr- 
dung des Grundrechts auf informationelle Selbstbestimmung, die sich 
aus neuen technischen Möglichkeiten und einem veränderten Kommu- 
nikationsverhalten ergeben, insbesondere im Zusammenhang mit der 
Weiterentwicklung des Internet. Er begrüßt es daher, dass sich auch die 
Bundesregierung dieser Thematik verstärkt zugewandt hat. 

Neben flankierenden gesetzlichen Regelungen können Selbstverpflich- 
tungen der beteiligten Branchen das Datenschutzniveau verbessern. 

Nicht erledigt 

vgl. 23. TB Nr. 4.1.3, 4.2 sowie 
24. TB Nr. 3.4 
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4. 

Für wirkungsvollen Datenschutz, insbesondere im Internet, ist es un- 
erlässlich, dass auch die Betroffenen selbst verantwortungsvoll mit ihren 
personenbezogenen Daten umgehen und die Möglichkeiten technischer 
Schutzmaßnahmen nutzen. Hierfür fehlt es aber noch immer an der er- 
forderlichen Sensibilität für mögliche Gefahren und an Wissen darüber, 
welche Maßnahmen des Selbstschutzes möglich und sinnvoll sind. 

Aufklärung und entsprechendes technisches Knowhow sind deswegen 
wichtige datenschutzpolitische Ziele. Der Deutsche Bundestag fordert 
die Bundesregierung auf, sich diesen Aufgaben verstärkt zu widmen, 
z. B. durch Errichtung der Stiftung Datenschutz. 

Dabei hat die Bundesregierung dafür Sorge zu tragen, dass keine Paral- 
lelstrukturen oder Konkurrenz zu den durch die Datenschutzbeauftrag- 
ten des Bundes- und der Länder wahrgenommenen Aufgaben entstehen. 

Teilweise erledigt 

vgl. Nr. 3.6 

5. 

Kinder und Jugendliche können vielfach die mit der Nutzung moderner 
Techniken verbundenen Konsequenzen und Risiken nicht erkennen 
oder richtig einschätzen. Ein verstärktes Bemühen um Aufklärung und 
Bildung im Bereich Datenschutz ist vor diesem Hintergrund gerade 
auch bei jungen Menschen geboten. 

Hierzu soll die geplante Stiftung Datenschutz einen wesentlichen Bei- 
trag leisten, ohne mit den bereits bestehenden Angeboten in Konkur- 
renz zu treten. Der Deutsche Bundestag begrüßt in diesem Zusammen- 
hang die Bildungsinitiativen der Datenschutzbeauftragten des Bundes 
und der Länder. 

Der Deutsche Bundestag fordert die Bundesregierung auf zu prüfen, 
wie neben dieser Bereitstellung von Bildungsangeboten auch durch ge- 
setzliche Vorgaben der Datenschutz insbesondere von Kindern und Ju- 
gendlichen verbessert werden kann. 

Nicht erledigt 

6. 

Der Bundestag begrüßt das Eckpunktepapier der Konferenz der Daten- 
schutzbeauftragten des Bundes und der Länder „Ein modernes Daten- 
schutzrecht für das 21. Jahrhunderf“. 

Er fordert die Bundesregierung auf, Möglichkeiten zur Umsetzung der 
dort gemachten Vorschläge und Anreize zu prüfen und darüber hinaus 
die Entschließungen der Konferenz der Datenschutzbeauflragten des 
Bundes und der Länder in ihre politischen und gesetzgeberischen Über- 
legungen mit einfließen zu lassen. 

Nicht erledigt 

7. 

Datenschutzgütesiegel und Datenschutzaudits können im Verhältnis 
zwischen Bürgern, Unternehmen und Staat ein wesentliches Instrument 
zur Vertrauensbildung darstellen. Sie sind geeignet, die Eigenverant- 
wortlichkeit der verantwortlichen Stelle zu fordern und zu sfärken. Der 
Deutsche Bundestag bedauert es daher, dass auch in der 16. Wahl- 
periode keine Verständigung über ein einheitliches und bundesweit an- 
erkanntes Zertifizierungsinstrument erfolgen konnte. Insofern begrüßt 
er das Vorhaben der Bundesregierung eine Stiftung Datenschutz errich- 
ten zu wollen, die diesen Missstand aufgreifen und Vorschläge für eine 
transparente Zertifizierungspraxis erarbeiten soll. Der Deutsche Bun- 
destag weist in diesem Zusammenhang daraufhin, dass die Stiftung Da- 
tenschutz jedoch nur dann den gewünschten Erfolg erzielen wird, wenn 
sowohl in personeller, als auch in wirtschaftlicher Hinsicht ihre Unab- 
hängigkeit gewährleistet ist. 

Überwiegend noch nicht erledigt 

die neue EU-Datenschutz- Verord- 
nung enthält (bisher m. E.) keine aus- 
reichenden Regelungen für ein ein- 
heitliches Datenschutzaudit vgl. Nr. 3.6 
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8. 

Mit Interesse hat der Deutsche Bundestag das Urteil des Europäischen 
Gerichtshofes zur Unabhängigkeit der Datenschutzaufsichtsbehörden in 
den Ländern zur Kenntnis genommen. Der Bundestag fordert die Bun- 
desregierung auf zu prüfen, ob durch die Entscheidung auch auf Bun- 
desebene ein gesetzgeberisches Handeln erforderlich ist. 

Bei einer Neuregelung sollten Eingriffsmöglichkeiten und Rechtsrah- 
men der Datenschutzaufsicht möglichst einheitlich ausgestaltet und die 
Effizienz des Datenschutzes gewährleistet werden. 

Zudem regt der Deutsche Bundestag an zu prüfen, ob der Bundesbeauf- 
tragte für den Datenschutz und die Informationsfreiheit im Bereich der 
seiner Aufsichtszuständigkeit unterliegenden Post- und Telekommuni- 
kationsdienstleistungen die gleichen nach § 38 BDSG definierten Hand- 
lungs- und Sanktionsmöglichkeiten wie die Aufsichtsbehörden der Län- 
der erhalten sollte. 

Nicht erledigt 

vgl. 23. TB Nr. 2.1 sowie 24. TB 
Nr. 3.1, 6.9 

9. 

Der Deutsche Bundestag fordert die Bundesregierung dazu auf, sich in 
den bevorstehenden Verhandlungen zur Novellierung der EU-Daten- 
schutzrichtlinie 95/46 vom 23. November 1995 für die Sicherung eines 
hohen Datenschutzniveaus entsprechend der bundesdeutschen Daten- 
schutzbestimmungen einzusetzen. Er bittet zudem die Bundesregierung 
zu prüfen, inwiefern die Modemisierungsvorschläge der Datenschutz- 
beauftragten des Bundes und der Länder hierbei Berücksichtigung fin- 
den können. 

Hat sich weitgehend erledigt 

vgl. Nr. 2.1 

10. 

Der Deutsche Bundestag beobachtet sorgfältig die ständig fortschrei- 
tende globale Vernetzung, die allein durch nationale Datenschutz- 
gesetze nicht geregelt werden kann. Deshalb müssen internationale 
Instrumente entwickelt werden, welche den Schutz der Persönlichkeits- 
rechte der Betroffenen wirksam gewährleisten. Der Deutsche Bundes- 
tag begrüßt daher die Absicht der EU, in einem allgemeinen Daten- 
schutzabkommen für die polizeiliche und justizielle Zusammenarbeit 
mit den Vereinigten Staaten von Amerika hierfür die Voraussetzungen 
zu schaffen. Dabei müssen aber die europaweit und national geltenden 
Datenschutzstandards eingehalten und fortgeschrieben werden. 

Noch nicht erledigt 

vgl. 23. TB Nr. 13.8 

Die Verhandlungen zwischen den 
Vertretern der Europäischen Union 
und den Vereinigten Staaten von 
Amerika sind ohne nennenswerte 
Fortschritte ins Stocken geraten. 

11. 

Der Deutsche Bundestag hat bereits in seiner Entschließung zum 
20. Tätigkeitsbericht des BfDl zur Übermittlung von Fluggastdaten in 
die USA Stellung genommen Bundestagsdrucksache 16/4882, Nr. 6). 
Seitdem werden Passagierdaten auch in weitere Staaten übermittelt. Der 
Deutsche Bundestag ruft die Bundesregierung auf, sich bei der Europäi- 
schen Union für die Entwicklung eines Musterabkommens für Flug- 
gastdaten einzusetzen, das hohen Datenschutzstandards genügt und ei- 
nen angemessenen Rechtsschutz ermöglicht. Ein entsprechendes 
Abkommen sollte insbesondere Zurückhaltung im Bezug auf den Um- 
fang der zu übermittelnden Daten und deren Speicherdauer üben und 
auf eine strenge Zweckbindung Wert legen. 

Noch nicht erledigt 

vgl. 24. TB Nr. 2.5.2. 1 

Im Berichtszeitraum standen die Ver- 
handlungen mit den Vereinigten Staa- 
ten von Amerika, Australien und Ka- 
nada im Blickpunkt. Über das weitere 
Vorgehen hat die Europäische Kom- 
mission noch nicht entschieden. 

12. 

Staatliche Stellen nutzen zunehmend die ihnen eingeräumte Befugnis, 
sich im Kontenabrufverfahren über die von Bürgerinnen und Bürgern 
eingerichteten Konten zu informieren. Der Deutsche Bundestag erinnert 
daran, dass es sich hierbei um Eingriffe in die Persönlichkeitsrechfe der 
Betroffenen handelt, bei denen der Grundsatz der Verhältnismäßigkeit 
zu beachten ist. Er fordert die Bundesregierung auf, schnellstmöglich 
den Prüfauftrag aus dem Koalitionsvertrag umzusetzen und nach Aus- 
wertung der Ergebnisse der stetigen Ausweitung der Abfragen durch 
wirksame Maßnahmen zu begegnen. 

Nicht erledigt 

vgl. 24. TB Nr. 9.5 
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13. 

Der Deutsche Bundestag ist sich der datenschutzrechtlichen Vorbehalte 
bewusst, die bei vielen Bürgerinnen und Bürgern hinsichtlich der Volks- 
zählung 2011 bestehen. 

Gerade deswegen ist eine datenschutzkonforme Durchführung des Zen- 
sus unabdingbar. Dies gilt insbesondere für die Verwendung von Ord- 
nungsnummem, die Gestaltung der Fragebögen und die Durchführung 
der Zählung in sensiblen Sonderbereichen 

Noch nicht erledigt 

vgl. Nr. 8.1.1 

14. 

Bei der ansfehenden Reform des Melderechts sieht der Deutsche Bun- 
destag keine Notwendigkeit für eine zentrale Speicherung, ln jedem 
Fall muss das Melderecht grundsätzlich auf seine Kemfunktionen be- 
schränkt werden. 

Die bisherige Praxis der listenmäßigen Übermittlung von Einwohner- 
daten an Dritte sollte überprüft werden. 

Teilweise erledigt 

vgl. Nr. 8.2 

15. 

Der Deutsche Bundestag bedauert, dass seine Aufforderung aus den 
Entschließungen zum 20. Tätigkeitsbericht des Bundesbeauflragten für 
den Datenschufz und die Informationsfreiheit (Bundestagsdrucksache 
16/4882, Nr. 10) und zum 21. Tätigkeitsbericht (Bundestagsdrucksache 
16/12271, Nr. 5), auch für die Steuerverwaltung den datenschutzrechtli- 
chen Auskunftsanspruch gesetzlich festzuschreiben, noch zu keinem 
Ergebnis geführt hat. Er hält an seiner Forderung fest, die Abgabenord- 
nung um einen entsprechenden vorbehaltlosen gesetzlichen Anspruch 
zu erweitern 

Noch nicht erledigt 

Das Bundesministerium der Finan- 
zen hatte in dieser Legislaturperiode 
einen Diskussionsentwurf einge- 
bracht. Dieser ist jedoch liegen ge- 
blieben und wird - soweit ersicht- 
lich - auch nicht mehr verfolgt. 

vgl. 24. TB Nr. 16.9 

16. 

Die Möglichkeit, mithilfe intelligenter Stromzähler den tatsächlichen 
Stromverbrauch kontrollieren zu können, könnte einen ökonomischen 
Mehrwert für den Verbraucher schaffen und beträchtliche ökologische 
Vorteile mit sich bringen. Bei ihrem Betrieb fallen jedoch auch umfang- 
reiche und differenzierte Datenbestände (Lastprofile) an, die durch ge- 
eignete technische und organisatorische Maßnahmen wirksam vor dem 
Zugriff durch Unberechtigte geschützt werden müssen. Auch muss si- 
chergestellt werden, dass die Datenhoheit beim Verbraucher verbleibt 
und dieser selbst darüber entscheiden kann, welche Daten er zur Verfü- 
gung sfellen möchte. 

Der Bundestag fordert daher die Bundesregierung auf, ihn bei dem An- 
liegen, neue Technologien datenschutzkonform ausgestalten zu wollen, 
auch in Zukunft zu unterstützen und die Notwendigkeit der Schaffung 
gesetzlicher Vorgaben in diesem Bereich zu prüfen 

Noch nicht erledigt 

vgl. Nr. 10.1 


ln der Plenarsitzung des Deutschen Bundestages vom 18. Dezember 2010 einstimmig angenommen. 
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Anlage 5 


Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht 
Frau Dagmar Hartge 

Vorsitzende der Konferenz der Datenschutzbeauftragten des Bundes 
und der Länder 2012 


Stellungnahme der Konferenz der Datenschutzbeauftragten des Bundes 
und der Länder zur Datenschutz -Grundverordnung 
KOM (2012) 11 endg. vom 25. Januar 2012 

11. Juni 2012 


Angesichts des rasanten technologischen Fortschritts, zu- 
nehmender Vernetzung und Globalisierung ist der grund- 
rechtsorientierte Ansatz des europäischen Datenschutz- 
rechts mit vielfältigen Herausforderungen konfrontiert. 
Das durch Art. 8 der Europäischen Grundrechtecharta ga- 
rantierte Grundrecht auf den Schutz personenbezogener 
Daten ist seit dem Inkrafttreten des Vertrags von Lissabon 
unmittelbar anwendbares Recht. Die Konferenz der Da- 
tenschutzbeauftragten des Bundes und der Länder (Kon- 
ferenz) begrüßt deshalb das von der Kommission ver- 
folgte Ziel eines hohen gemeinsamen Datenschutzniveaus 
in der gesamten Europäischen Union. 

Mit der Datenschutz-Grundverordnung (Verordnung) 
strebt die Kommission eine Harmonisierung des Daten- 
schutzrechts an. Die Konferenz hält es für sinnvoll und 
erforderlich, einen effektiven Datenschutz für alle Bürge- 
rinnen und Bürger in Europa zu gewährleisten. Ungeach- 
tet der Frage, ob sich die Kompetenz der EU zum Erlass 
einer Verordnung auf Basis von Art. 16 Abs. 2 Satz 1 
AEUV im Hinblick auf das Prinzip der begrenzten Ein- 
zelermächtigung und das Subsidiaritätsprinzip auch auf 
rein innerstaatliche Datenverarbeitungen im öffentlichen 
Bereich erstreckt, ist die Konferenz der Auffassung, dass 
auch insoweit ein möglichst hoher Mindeststandard ge- 
währleistet werden muss. Es darf insgesamt zu keiner Ab- 
senkung des in den Mitgliedsstaaten bereits erreichten 
Schutzniveaus kommen. Die Mitgliedsstaaten sollten da- 
her auch in Zukunft - vor allem bei besonders sensiblen 
Datenverarbeitungen - gesetzliche Regelungen mit einem 
möglichst hohen Schutzniveau erlassen dürfen. Die Ver- 
ordnung muss in jedem Fall den Verfassungs- und 
Rechtstraditionen der Mitgliedsstaaten Rechnung tragen. 

Der Entwurf ermächtigt die Kommission in einer Vielzahl 
von Vorschriften zu einer näheren Regelung durch dele- 
gierte Rechtsakte. Die Konferenz appelliert an das Euro- 
päische Parlament und den Rat, die Notwendigkeit jeder 
einzelnen Delegationsermächtigung kritisch zu überprü- 
fen. Im Hinblick auf den Wesentlichkeitsgrundsatz müs- 
sen entsprechend Art. 290 AEUV die entscheidenden Re- 


gelungen in der Verordnung selbst getroffen oder aber im 
Hinblick auf fachspezifische Regelungen dem nationalen 
Gesetzgeber überlassen werden. Auch wenn das Parla- 
ment bei einer Ausübung der Delegationsrechte durch die 
Kommission auf den Erlass dieser Rechtsakte einwirken 
kann, ist deren demokratische Legitimation deutlich ge- 
ringer, als bei einer Regelung der wesentlichen Punkte in 
der Verordnung selbst. Die Konferenz lehnt daher insbe- 
sondere solche delegierten Rechtsakte ab, bei denen 
grundlegende materiell- und verfahrensrechtliche Rege- 
lungen (wie z. B. in Art. 6 bei der Rechtmäßigkeit der 
Verarbeitung) konkret ausgestaltet werden sollen. 

Die Konferenz weist auch daraufhin, dass der Entwurf in 
zahlreichen Regelungen unbestimmte Rechtsbegriffe so- 
wie Interessenabwägungen enthält, deren hoher Abstrak- 
tionsgrad einen großen Spielraum bei der Auslegung und 
Anwendung zulässt. Sie empfiehlt dringend, die notwen- 
digen Klarstellungen in den Regelungen selbst vorzuneh- 
men. 

Die Konferenz weist darüber hinaus darauf hin, dass das 
im Entwurf vorgesehene Kohärenzverfahren, welches in 
der gegenwärtigen Ausgestaltung die Aufsichtsbehörden 
in ein komplexes Konsultationsverfahren einbindet, die 
Unabhängigkeit der Datenschutzaufsicht beeinträchtigen 
und zu einer Bürokratisierung des Datenschutzes führen 
würde. Es muss deshalb stark vereinfacht und prakti- 
kabler gestaltet werden. Die durch Art. 8 der Grund- 
rechtecharta und Art. 16 AEUV gewährleistete Unabhän- 
gigkeit der Datenschutzaufsichtsbehörden gilt auch 
gegenüber der Kommission. Die vorgesehenen Befug- 
nisse der Kommission in Bezug auf konkrete Maßnahmen 
der Aufsichtsbehörden bei der Umsetzung der Verord- 
nung wären damit nicht vereinbar. 

Die Konferenz hält es für erforderlich, die in den Art. 8 (3), 
12 (6), 14 (7) und 22 (4) vorgesehenen Ausnahmen für 
die Datenverarbeitung kleiner und mittlerer Unternehmen 
(KMU) zu überprüfen. Ausnahmen sollten sich generell 
weniger an der Größe eines Unternehmens, sondern viel- 
mehr an den Gefahren und Risiken für die Rechte und 
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Freiheiten des Einzelnen orientieren. Auch von sehr klei- 
nen Unternehmen können erhebliche Gefährdungen für 
den Datenschufz ausgehen. 

Der Entwurf der Verordnung führt in erheblichem Um- 
fang zu Abgrenzungsschwierigkeiten mit der RL 2002/ 
58/EG. Art. 89 (1) ist insoweit zu abstrakt und unklar for- 
muliert. Welche besonderen Pflichten gibt es konkret, die 
in der Richtlinie 2002/58/EG festgelegt sind? Weder Art. 
89 noch die einschlägige Erwägung 135 geben hierüber 
Aufschluss. 

Die Konferenz schlägt vor, eine Regelung „Erziehung 
und Bildung“ aufzunehmen. Der Datenschutz dient in ei- 
ner demokratischen Gesellschaft auch dem Gemeinwohl 
und ist zunächst Aufgabe jeglicher Staatsgewalt. Darüber 
hinaus ist er eine gesamtgesellschaftliche Aufgabe. 
Schließlich ist jede Bürgerin und jeder Bürger auch zur 
Eigenverantwortung aufgerufen. Hilfen zum informatio- 
nellen Selbstschutz müssen zur Verfügung gesfellt wer- 
den, die es den Betroffenen ermöglichen, eine Erfassung 
ihres Verhaltens zu vermeiden und selbst darüber zu ent- 
scheiden, ob und wem gegenüber sie Daten offenbaren. 
Von zunehmender Bedeutung sind auch Projekte, die das 
Datenschutzbewusstsein fordern, um vor allem jüngere 
Menschen von einem fahrlässigen Umgang mit ihren per- 
sönlichen Daten abzuhalten. 

,,Art. Xx - Erziehung und Bildung 

Um sich in der Informations gesellschaft behaupten zu 
können, ist den Bürgerinnen und Bürgern durch geeignete 
Maßnahmen Datenschutzkompetenz zu vermitteln. Sie ist 
Teil der übergreifenden Medienkompetenz; ihre Vermitt- 
lung ist eine gesamtgesellschaftliche Aufgabe in den Mit- 
gliedstaaten, die hierbei von der Union unterstützt wer- 
den. “ 

Zu den einzelnen Regelungen nimmt die Konferenz 
wie folgt Stellung: 

Kapitel I - Allgemeine Bestimmungen 
Zu Art. 2: 

Die Konferenz spricht sich dafür aus, dass auch die Or- 
gane, Einrichtungen, Ämter und Agenturen der Europäi- 
schen Union entweder in den Geltungsbereich der Ver- 
ordnung einbezogen werden (Art. 2 (2) lit. b)) oder die 
Verordnung 45/2001 zeitgleich angepasst wird. Es wäre 
nicht vertretbar, wenn sich die EU selbst von der ange- 
strebten Modernisierung des Datenschutzrechts ausneh- 
men würde. Zudem spricht auch das Ziel der Harmonisie- 
rung für eine Einbeziehung der Organe der Union, da 
zunehmend auch zwischen diesen und den Mitgliedsfaa- 
ten ein Ausfausch personenbezogener Daten stattfindet. 

Die Beibehaltung der Ausnahme der Datenverarbeitung 
durch natürliche Personen zu ausschließlichen persönli- 
chen oder familiären Zwecken in Art. 2 (2) lit. d) wird 
grundsätzlich begrüßt. Allerdings wäre eine Klarstellung 
wünschenswert, die in einer differenzierten Regelung die 
datenschutzrechtlichen Pflichten von natürlichen Perso- 


nen angemessen ausgestaltet. Dies könnte beispielsweise 
in einer eigenständigen Regelung zur Veröffentlichung 
personenbezogener Daten an einen unbestimmten Perso- 
nenkreis geschehen. 

Zu Art. 3 : 

Die Konferenz begrüßt die Einführung des Marktortprin- 
zips in der Verordnung. 

Zum räumlichen Anwendungsbereich für Verarbeitungen 
durch einen nicht in der Union niedergelassenen für die 
Verarbeitung Verantwortlichen weist sie darauf hin, dass 
Ermittlungs- und Rechtsdurchsetzungsbefugnisse im EU- 
Ausland nur nach Maßgabe bislang nicht existierender 
zwischenstaatlicher Verträge bestehen, ln Vörentwürfen 
der Verordnung war deshalb bereits vorgesehen, dass der 
innerhalb der EU zu bestellende Vertreter (Art. 25) um- 
fassend in die Rechtsstellung des Verantwortlichen und 
dessen Pflichten eintreten solle. Dessen zusätzliche Ein- 
beziehung in die Rechte und Pflichten wäre aus Sicht der 
Konferenz zu begrüßen. 

Der Begriff der „Beobachtung“ sollte konkretisiert wer- 
den (Art. 3 (2) lit. b)), weil nicht hinreichend klar ist, wel- 
che Anwendungsfälle hierdurch erfassf werden sollen. 

Zu Art. 4: 

Die Definition der „betroffenen Person“ sollte ohne die 
Formulierung „nach allgemeinem Ermessen aller Voraus- 
sicht nach einsetzen würde“, die damit eine subjektive 
Komponente impliziert, wie folgt gefasst werden: „eine 
bestimmte natürliche Person oder eine natürliche Person, 
die direkt oder indirekt von der für die Verarbeitung ver- 
antwortlichen oder jeder sonstigen natürlichen oder juris- 
tischen Person bestimmt werden kann“ (Art. 4 (1)). 

Es sollte auch klargestellt werden, dass Kennnummem, 
Standortdaten usw. zu den personenbezogenen Daten zäh- 
len (siehe Erwägungsgrund 23 der bekannt gewordenen 
Entwurfsfassung 56; Art. 4 (1) und (2)). 

Es sollte definiert werden, was „automatisiert“ bedeutet 
(Art. 4 (3)). 

ln der Definition der „Datei“ sollte klargestellt werden, 
dass die Zugänglichkeit nach mindestens einem bestimm- 
ten Kriterium ausreicht (Art. 4 (4)). 

Die Definition der „biometrischen Daten“ sollte nicht nur 
auf die eindeutige Identifizierbarkeit abstellen, sondern 
auch das harmonisierte biometrische Vokabular verwen- 
den: „Daten zu den physischen, physiologischen oder 
verhaltenstypischen Charakteristika eines Menschen wie 
Gesichtsbilder oder daktyloskopische Daten“ (Art. 4 (11)). 

Für Betroffene und Aufsichtsbehörden fehlt es an Trans- 
parenz und Verlässlichkeit, wenn die Hauptniederlassung 
über untemehmensinteme Regelungen („Ort (...), an dem 
die Grundsatzentscheidungen (...) getroffen werden“) 
bzw. über den Schwerpunkt der Verarbeitung („Ort, an 
dem die Verarbeitungstätigkeiten (...) hauptsächlich statt- 
finden“) definiert wird. Eine Präzisierung wird dringend 
für erforderlich gehalten, insbesondere im Hinblick auf 
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die Regelungen des „One-Stop-Shops“ in Art. 51 (2) so- 
wie die Regelungen des gerichtlichen Rechtschutzes in 
Kapitel Vlll. 

Die Definition des „Dritten“ sollte in Art. 4 aufgenom- 
men werden, um insbesondere die Figur des Auftragsda- 
tenverarbeiters entsprechend Art. 2 lit. f)) der RL 95/46/ 
EG klarer zu fassen. 

Die Begriffe „Anonymisierung“ und „Pseudonymisie- 
rung“ sollten ebenfalls definiert werden, da beiden Vor- 
gängen materiell-rechtlich eine größere Bedeutung einge- 
räumt wird und aus Sicht der Konferenz auch eingeräumt 
werden sollte. 

Kapitel II - Grundsätze 

Zu Art. 5: 

Als weiterer Grundsatz sollte in Art. 5 die Verpflichtung 
aufgenommen werden, dass bei der Verarbeitung perso- 
nenbezogener Daten die technischen und organisatori- 
schen Maßnahmen zum Datenschutz einzuhalten sind, 
um die hohe Bedeutung des technologischen Datenschut- 
zes zu unterstreichen. 

Die Zweckbindung ist bei der Verarbeitung personenbe- 
zogener Daten eines der wichtigsten Grundprinzipien zur 
Gewährleistung des Datenschutzes. Im Hinblick auf 
Art. 5 lit. b) sollte die Zweckbindung deshalb strikter ge- 
fasst werden. Zumindest erwartet die Konferenz die Klar- 
stellung, dass der in der Verordnung gewählte Begriff der 
Zweckvereinbarkeit der Zweckbindung im Sinne des 
deutschen Datenschutzrechts entspricht. 

ln Art. 5 lit. e) sollte zusätzlich die anonyme und pseu- 
donyme Nutzung der Daten als Gestaltungsauftrag mit 
aufgenommen werden. Dies sollte im Weiteren mit Rege- 
lungen zu einer Privilegierung der pseudonymen Daten- 
verarbeitung flankiert werden. 

Zu Art. 6: 

Die Abwägungsklausel des Art. 6 (1) lit. f) wird in der 
Praxis eine herausragende Bedeutung erlangen. Die Vor- 
gaben und Maßstäbe, anhand derer die Interessenabwä- 
gung innerhalb dieser Auffangregelung vorzunehmen ist, 
müssen daher hinreichend klar sein, ln Art. 6 (1) lit. f) 
sollte eine Regelungsstruktur gefunden werden, die bran- 
chen- und situationsspezifischen Konkretisierungen 
Rechnung trägt. Die Verordnung sollte dabei beispiels- 
weise auf die spezifischen Datenschutzaspekte der Aus- 
kunfteien und des Scorings eingehen. Im Hinblick auf die 
Verarbeitung von personenbezogenen Daten zu Direkt- 
marketingzwecken sollte - wie in der bekannt geworde- 
nen Entwurfsfassung 56 - grundsätzlich ein Einwilli- 
gungserfordemis (opt-in) vorgesehen werden. 

Zudem erscheint es - wie Art. 20 des Vorschlags zeigt - 
auch denkbar, abschließende Fallgruppen zu definieren, 
die einer Interessenabwägung aufgrund des hohen Ge- 
fährdungspotentials der Datenverarbeitung von vornher- 
ein nicht zugänglich sind. 


Vor dem Hintergrund des in Art. 290 AEUV niedergeleg- 
ten Wesentlichkeitsgrundsatzes sollten die hier geforder- 
ten Konkretisierungen in der Verordnung selbst formu- 
liert werden, da es sich um wesentliche Bedingungen für 
die Rechtmäßigkeit der Verarbeitung personenbezogener 
Daten handelt. Art. 6 (5) wäre daher zu streichen. 

Ausgehend von Art. 6 (3) lit. b) ist sicherzustellen, dass 
durch den Verweis auf das mitgliedstaatliche Recht im 
öffentlichen Bereich ein über die Anforderungen der Ver- 
ordnung hinausgehendes Datenschutzrecht erhalten blei- 
ben kann, wie dies in verschiedenen bundes- und landes- 
rechtlichen Regelungen bereits jetzt verwirklicht ist. Es 
muss auch weiterhin ohne Zweifel gewährleistet sein, 
dass in einem ausdifferenzierten bereichsspezifischen Da- 
tenschutzrecht dem erhöhten Schutzbedarf staatlicher Da- 
tenverarbeitung auch in Zukunft Rechnung getragen 
wird. Dies muss sich eindeutig und ausdrücklich aus dem 
Wortlaut von Art. 6 (3) lit. b) ergeben. Anderenfalls wäre 
der derzeit bestehende besondere Schutz, beispielsweise 
der in der Bundesrepublik Deutschland bestehende 
Schutz von Sozialdaten, durch die Verordnung gefährdet. 

Zu Art. 7 : 

Die Konferenz unterstützt die Absicht der Kommission, 
in Art 7 (4) die Freiwilligkeit von Einwilligungen zu kon- 
kretisieren. Sie weist allerdings darauf hin, dass ein er- 
hebliches Ungleichgewicht nur ein Indiz für Unfreiwillig- 
keit sein kann. 

Zu Art. 8: 

Der besondere Schutz von Kindern und Jugendlichen bei 
der Verarbeitung der auf sie bezogenen Daten ist der Kon- 
ferenz ein besonderes Anliegen. Insofern begrüßt sie, 
dass sich der Verordnungsentwurf dieser Thematik an- 
nimmt und sie in einer spezifischen Regelung verankern 
will. Die Vorschrift sollte sich jedoch stärker an den kon- 
kreten, für diese Altersgruppe spezifischen Gefährdungen 
orientieren. Aus diesem Grunde sollte bei Einwilligungen 
auch stärker auf die Einsichtsfähigkeit des Kindes und 
weniger auf starre Altersgrenzen abgestellt werden. 

In Art. 8(1) sollte das Regelungsziel der Norm präzisiert 
werden. Es ist zu klären, ob eine Beschränkung auf Dienste 
der Informationsgesellschaft ausreichend ist, da es sich ge- 
mäß der Begriffsbestimmung aus der Richtlinie 98/34/EG 
hierbei in der Regel um gegen Entgelt erbrachte Dienste 
handelt, obwohl offensichtlich auch entgeltfreie Dienste 
erfasst werden sollen. Einer Klarstellung bedarf auch, 
wann einem Kind solche Dienste „direkt“ angeboten wer- 
den. Es ist ebenfalls zu klären, ob sich Art. 8 (1) ausschließ- 
lich auf solche Datenverarbeitungen bezieht, bei denen 
die Rechtmäßigkeit nach Art. 6(1) lit. a) auf die Einwilli- 
gung gestützt wird oder ob bei jeder Datenverarbeitung 
der Einwilligungsvorbehalt der Eltern bzw. gesetzlichen 
Vertreter gelten soll. 

Zudem ist das Verhältnis zwischen den Absätzen 1 und 2 
des Art. 8 klärungsbedürftig. 

Die Profilbildung (Art. 20) sollte bei Minderjährigen ge- 
nerell verboten sein. 
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Zu Art. 9: 

Art. 9 soll den bedeutsamen Bereich der Zulässigkeit der 
Verarbeitung von besonderen Kategorien personenbezo- 
gener Daten regeln. Die Konferenz sieht hier den aus 
Art. 8 der RL 95/46/EG übernommenen Ansatz eines ab- 
schließenden Katalogs sensitiver Daten kritisch. Vorzugs- 
würdig wäre es, auf den tatsächlichen Verarbeitungskon- 
text abzustellen und den Katalog der sensitiven Daten als 
Regelbeispiele auszugestalten. 

Die Vorgaben sind im Sinne des Wesentlichkeitsgrundsat- 
zes in der Verordnung selbst zu treffen, die entsprechend 
zu ergänzen ist. Die in Art. 9 (3) enthaltene Delegations- 
ermächtigung wird deshalb abgelehnt. 

Zu Art. 10: 

Das von der Verordnung hier offenbar verfolgte Rege- 
lungsziel wird in Erwägungsgrund 45 deutlich. Dort wird 
ausführt, dass der für die Verarbeitung Verantwortliche 
nicht verpflichtet sein sollte, zusätzliche Daten einzuho- 
len, um eine betroffene Person zu bestimmen. Er sollte 
das Recht haben, bei der betroffenen Person, falls diese 
von ihrem Auskunftsrecht Gebrauch macht, weitere In- 
formationen einzuholen, um die zu dieser Person gesuch- 
ten personenbezogenen Daten zu lokalisieren. Dies spie- 
gelt sich im Wortlaut des Art. 10 jedoch nicht wider. 
Dieser sollte deshalb so gefasst werden, dass sich der Er- 
wägungsgrund 45 im Regelungstext selbst niederschlägt. 

Kapitel III - Rechte der betroffenen Person 

Zu Art. 11: 

Der Vorschlag wird grundsätzlich begrüßt. Es sollte je- 
doch in Abs. 1 klargestellt werden, was der für die Ver- 
arbeitung Verantwortliche (konkret) leisten muss. 

Zu Art. 12: 

Aus Gründen der Bestimmtheit und wegen der Erheblich- 
keit der hier zu treffenden Konkretisierungen sollte un- 
mittelbar in der Verordnung selbst dargelegt werden, un- 
ter welchen Voraussetzungen ein Antrag offenkundig 
unverhältnismäßig ist, insbesondere auch, wann eine 
missbräuchliche Häufung von Betroffenenrechten vor- 
liegt (vgl. Art. 12 (4)). Die Befugnis der Kommission zu 
delegierten Rechtsakten in Art. 12 (5) sollte daher entfal- 
len. 

Die Konferenz spricht sich gegen eine Missbrauchsge- 
bühr aus. Aus ihrer Sicht reicht es aus, dass in Miss- 
brauchsfällen das jeweilige Betroffenenrecht nicht in 
Anspruch genommen werden kann. Sofern an der Miss- 
brauchsgebühr festgehalten wird, muss vermieden wer- 
den, dass sich Betroffene völlig unerwartet Gebührenfor- 
derungen gegenübersehen. Deshalb sollte der für die 
Verarbeitung Verantwortliche die betroffene Person im 
konkreten Einzelfall darüber informieren müssen, wenn 
er die Ausübung der Betroffenenrechte für offenkundig 
unverhältnismäßig erachtet und aus diesem Grund ein 
Entgelt verlangen will. Die Höhe des Entgelts muss ver- 


hältnismäßig sein und sich an dem tatsächlichen Aufwand 
bemessen. 

Art. 12 sollte um das Erfordernis sicherer Übertragungs- 
wege für personenbezogene Daten nach dem Stand der 
Technik ergänzt werden. 

Zu Art. 13: 

Die Regelung wird grundsätzlich begrüßt. Die Nachbe- 
richtspflicht gemäß Art. 13 sollte sich jedoch auch auf 
Widersprüche nach Art. 19 erstrecken. 

Zu Art. 14: 

ln der Verordnung ist unter Art. 14 (4) lit. b) klarzustel- 
len, was unter einer „angemessenen“ Frist zu verstehen 
ist. Ferner ist zu prüfen, ob anstatt dieser nicht ein „un- 
verzügliches Handeln“ geboten ist. Benachrichtigungen 
erst bei Datenübermittlungen dürfen nur bei Datenverar- 
beitem möglich sein, die geschäftsmäßig Daten zur Über- 
mittlung Vorhalten (u. a. Auskunfteien, Adresshandel, 
Detekteien). 

Zu Art. 15: 

ln Art. 15 (1) lit. g) sollte die Einschränkung auf die 
(lediglich) „verfügbaren“ Herkunftsdaten gestrichen wer- 
den, da eine Angabe über die Herkunft personenbezoge- 
ner Daten stets geboten ist und diese nicht verschleiert 
werden darf 

Die Aufklärungspflicht nach Art. 15 (1) lit. h) sollte auf 
die „Bedeutung und Tragweite“ der Verarbeitung er- 
streckt werden. Ein (ausdrücklicher) Hinweis auf beson- 
dere Risiken bei der Profilbildung, Auskunfteien oder 
dem Scoring ist aufzunehmen. 

Es muss zudem sichergestellt werden, dass für eine Mit- 
teilung in elektronischer Form gemäß Art. 15 (2) nur si- 
chere Übertragungswege nach dem Stand der Technik in 
Betracht kommen. 

Zu Art. 16: 

Es ist klarzustellen, ob unter einem Korrigendum eine 
Richtigstellung zu verstehen ist. Zudem regelt die Vor- 
schrift nicht, wie zu verfahren ist, wenn sich die Unrich- 
tigkeit oder Richtigkeit der Daten nicht beweisen lässt, 
bzw. wer die Beweislast trägt. Dieser Punkt sollte ergänzt 
werden. Denkbar wäre z. B. eine Verpflichtung, diese Da- 
ten im Sinne von Art. 17 (4) zu beschränken. 

Zu Art. 17: 

ln Art. 17 (2) sollte eine Pflicht der Dritten zur Löschung 
der Daten analog Art. 17 (1) geregelt werden. Insbeson- 
dere sollte klargestellt werden, ob die Regelung auf den 
Bereich des Internets beschränkt ist und ob sie nach Maß- 
gabe des Lindqvist-Urteils auch für Privatpersonen gilt. 

Das Verhältnis der „umgehenden“ Löschungspfiicht in 
Art. 17 (3) zu der in Art. 12 (2) geregelten Monatsfrist ist 
klärungsbedürftig. Es erscheint jedenfalls nicht sinnvoll. 
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wenn der für die Verarbeitung Verantwortliche zwar ei- 
nerseits die personenbezogenen Daten umgehend löschen 
müsste, andererseits aber für die Benachrichtigung des 
Betroffenen über die Löschung einen Monat Zeit hätte. 

Die Formulierung in Art. 17 (2) „alle vertretbaren 
Schritte“ bedarf insbesondere aus technischer Sicht der 
Präzisierung. 

Die Beschränkung nach Art. 17 (4) sollte verpflichtend 
vorgegeben werden. 

Zu Art. 18: 

Die Konferenz unterstützt die Einführung eines Rechts 
auf Datenportabilität in Art. 18 (1). Dieses Recht sollte 
aber nicht davon abhängen, ob der für die Verarbeitung 
Verantwortliche seine Verarbeitungen in einem gängigen 
Format tätigt. Vielmehr sollte durch die Streichung des 
Wortes „gängige“ eine allgemeine Konvertierungspflicht 
geregelt werden. Es ist klärungsbedürftig, ob Art. 18 (1) 
auch den öffentlichen Bereich erfasst. 

Die in Art. 18 (2) verwandten Begriffe des Zur- Verfü- 
gung-Stehens und des Entziehens von Daten sollten in 
der Verordnung definiert werden, falls auf diese Begriffe 
nicht in Gänze verzichtet werden kann. 

Zu Art. 19: 

ln Art. 19 (1) sollte der Begriff „schutzwürdige Gründe“ 
durch „berechtigte Interessen“ ersetzt werden. Es sollte 
zudem geprüft werden, ab wann und wie der Nachweis 
für das überwiegende Verarbeitungsinteresse des für die 
Verarbeitung Verantwortlichen als erbracht gelten soll. 

Kommerzielle Werbung sollte, wie bereits zu Art. 6 ange- 
merkt, grundsätzlich nur mit Einwilligung des Betroffe- 
nen gestattet sein. Art. 19 (2) sollte deshalb entsprechend 
angepasst werden. Die Konferenz empfiehlt zudem, den 
Begriff „unentgeltlich“ in Art. 19 (2) zu streichen, da sich 
die Unentgeltlichkeit bereits aus Art. 12 (4) Satz 1 ergibt. 
Andernfalls wäre im Einzelnen darzulegen, weshalb wel- 
che Maßnahmen nach Kapitel 111 jeweils entgeltfrei sein 
sollen oder nicht. 

Unter Hinweis zu den Anmerkungen zu Art. 13 sollte 
auch Art. 19 entsprechend angepasst werden. 

Zu Art. 20: 

Die Konferenz unterstützt grundsätzlich die Aufnahme 
einer speziellen Regelung zur Profilbildung. Allerdings 
hält sie den Vorschlag für stark ergänzungsbedürftig. 

Schon die Profilbildung selbst (z. B. in sozialen Netzwer- 
ken, beim Scoring und bei Auskunfteien) greift in erheb- 
licher Weise in das Grundrecht auf Datenschutz ein und 
ist deshalb regelungsbedürftig. 

Art. 20 (1) sollte zudem auf jede - auch nur teilweise au- 
tomatisierte - systematische Verarbeitung zur Profilbil- 
dung Anwendung finden und daher das Wort „rein“ ge- 
strichen werden. 


Bei Mindeijährigen (Art. 8) sollte die Profilbildung gene- 
rell verboten sein. 

Die Verarbeitung besonderer Kategorien personenbezo- 
gener Daten wird wegen ihrer besonderen Sensitivität 
äußerst kritisch gesehen. Dort, wo sensitive Daten für 
eine Prognose unerlässlich sind, wie z.B. bei der Risiko- 
beurteilung im Krankenversicherungsbereich, müssen 
enge, branchenspezifische Ausnahmetatbestände einge- 
führt werden, die an dem Grundsatz der Erforderlichkeit 
auszurichten sind, ln Art. 20 (3) ist zudem klarzustellen, 
ob die Voraussetzungen des Art. 9 kumulativ gelten sol- 
len. Dies würde sicherstellen, dass die Verwendung be- 
sonderer Kategorien personenbezogener Daten materiell- 
rechtlichen Beschränkungen unterliegt und sie nicht be- 
liebig in Profilbildungen einfiießen können. 

Im Hinblick auf die besonderen Risiken der Bildung von 
Profilen, die auf einzelne Personen bezogen werden kön- 
nen, ist die Wiederherstellung eines Personenbezugs bei 
unter Pseudonym oder einem technischen Identifikations- 
merkmal geführten Profilen grundsätzlich zu untersagen. 

Wegen der Erheblichkeit der in Art. 20 (5) zu treffenden 
Konkretisierungen und aus Gründen der Bestimmtheit 
sollte eine entsprechende Reglung in die Verordnung auf- 
genommen und die Befugnis der Kommission zu dele- 
gierten Rechtsakten gestrichen werden. 

Zu Art. 21: 

Statt einer Öffnungsklausel für den nationalen Gesetz- 
geber nur zur Beschränkung der Rechte Betroffener 
(Art. 21) sollten weiter reichende Betroffenenrechte ge- 
währt werden dürfen. Dies gilt ungeachtet der bereits zu 
Art. 6 geforderten generellen Öffnungsklausel für den öf- 
fentlichen Bereich. 

Art. 21 (1) lit. c) sollte gestrichen werden. Es ist nicht 
nachvollziehbar, weshalb die bisher in der RL 95/46/EG 
nicht vorgesehene Beschränkung in Bezug auf den Schutz 
sonstiger öffentlicher Interessen geboten sein soll. Zu- 
mindest sollten die Anforderungen an die Beschränkung 
strikter formuliert werden, damit die Betroffenenrechte 
nicht leerlaufen. 

Kapitel IV - Für die Verarbeitung Verant- 
wortlicher und Auftragsverarbeiter 

Ein zukunftsfähiger Datenschufz umfasst technische und 
organisatorische Maßnahmen, die Datenschutz und Da- 
tensicherheit angemessen berücksichtigen. Um dies zu 
gewährleisten, sind die elementaren Datenschutzziele der 
Verfügbarkeit, Integrität, Vertraulichkeit, Transparenz, 
Nichtverkettbarkeit und Intervenierbarkeit als Zielvorga- 
ben für technische und organisatorische Maßnahmen in 
die Bestimmungen der Art. 23 ff. aufzunehmen. 

Zu Art. 22: 

Um sicherzustellen, dass eine Verarbeitung personenbe- 
zogener Daten erst dann erfolgt, wenn die geeigneten 
Strategien und Maßnahmen auch umgesetzt sind, sollte 
Art. 22 (1) wie folgt formuliert werden: „Der für die Ver- 
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arbeitung Verantwortliche stellt durch die Umsetzung ge- 
eigneter Strategien und Maßnahmen sicher, dass per- 
sonenbezogene Daten in Übereinstimmung mit dieser 
Verordnung verarbeitet werden und er den Nachweis da- 
für erbringen kann.“ 

Art. 22 (3) sollte dahingehend ergänzt werden, dass die 
Entscheidung über Konsequenzen aus der Überprüfung 
der in den Absätzen 1 und 2 genannten Maßnahmen nicht 
dem Prüfer, sondern weiterhin dem für die Verarbeitung 
Verantwortlichen obliegt. 

Zu Art. 23: 

ln Art. 23 (1) könnte die ausdrückliche Bezugnahme auf 
die Berücksichtigung der Implementierungskosten zu ei- 
nem Einfallstor für das Unterlassen von Maßnahmen zur 
datenschutzfreundlichen Technikgestaltung werden. Zu- 
mindest müssen - wie in Art. 30 (1) - die Implementie- 
rungskosten technisch-organisatorischer Maßnahmen in 
ein angemessenes Verhältnis zum konkreten Gefahrenpo- 
tential der Datenverarbeitung gesetzt werden, um eine 
Relation zwischen Kosten und Eingriffstiefe in das Recht 
auf informationeile Selbstbestimmung herzustellen. 

Art. 23 (2) sollte präzisiert und um Kriterien und Anfor- 
derungen in Bezug auf die zu treffenden Maßnahmen und 
Verfahren ergänzt werden. Hierbei sind insbesondere An- 
onymisierung und Pseudonymisierung nach dem Stand 
der Technik zu fordern, sofern dies nicht bereits in Art. 5 
geregelt wird. 

Es sollte klargestellt werden, dass Datenschutz durch 
Technik auch die Auswahl und Gestaltung von Datenver- 
arbeitungssystemen betrifft. 

Die Grundeinstellungen von Produkten und Diensten sind 
so zu gestalten, dass so wenig personenbezogene Daten 
wie möglich erhoben oder verarbeitet werden und bereits 
ohne Zutun der Nutzer eine datenschutzfreundliche Nut- 
zung sichergestellt wird. 

Die Regelung sollte ausdrücklich auch für Verhaltens- 
beobachtungen („Tracking“) im Internet durch den für die 
Verarbeitung Verantwortlichen oder durch Dritte gelten. 

Satz 2 des Art. 23 (2) sollte wie folgt lauten: „Die Verfah- 
ren müssen insbesondere sicherstellen, dass personen- 
bezogene Daten grundsätzlich nur den von der betrof- 
fenen Person zu bestimmenden Personen zugänglich 
gemacht werden.“ Damit soll erreicht werden, dass die 
betroffene Person den Personenkreis selbst bestimmt, 
dem ihre personenbezogenen Daten zugänglich gemacht 
werden dürfen, und der für die Verarbeitung Verantwortli- 
che hierfür die entsprechenden Vorkehrungen zu treffen 
hat. 

Zu Art. 24: 

ln Art. 24 sollte im Text ausdrücklich ergänzt werden, 
dass sich die betroffene Person zur Wahrnehmung ihrer 
Rechte an jeden der für die gemeinsame Verarbeitung 
Verantwortlichen wenden kann. 


Zu Art. 25: 

Die Konferenz schlägt vor, auch in den Fällen des Art. 25 
(2) lit. a) einen Vertreter zu bestellen. Art. 25 (2) lit. a) 
sollte daher gestrichen werden. 

Der in Art. 25 (2) lit. b) geplante Verzicht bei Unterneh- 
men mit weniger als 250 Mitarbeitern auf die Benennung 
eines Vertreters, der umfassend in die Rechtsstellung des 
Verantwortlichen und dessen Pflichten eintreten sollte, 
stellt eine Ausnahme dar, die nicht nachvollziehbar ist. 
Die Konferenz schlägt daher vor, diese Ausnahmerege- 
lung ebenfalls zu streichen. Diese Klausel eröffnet weit- 
gehende Umgehungsmöglichkeiten, da nicht geprüft wer- 
den kann, wie viele Beschäftigte bei einem nicht in der 
Union niedergelassenen Unternehmen tatsächlich tätig 
sind. 

Zu Art. 26: 

Der in Art. 26 (2) geregelte Mindestinhalt eines Vertrages 
oder Rechtsaktes zur Auftragsdatenverarbeitung sollte die 
wesentlichen Aspekte enthalten und daher um die Angabe 
von Gegenstand und Dauer des Auftrags sowie Umfang, 
Art und Zweck der vorgesehenen Verarbeitung, der Art 
der Daten und den Kreis der Betroffenen ergänzt werden, 
ln lit. a) sollte durch Streichung des 2. Halbsatzes sicher- 
gestellt werden, dass der Auftragsverarbeiter in jedem 
Fall ausschließlich auf Weisung des für die Verarbeitung 
Verantwortlichen tätig wird und nicht nur in besonderen 
Fällen, in denen die Übermittlung der Daten nicht zuläs- 
sig ist. 

Der Schutz der betroffenen Person erfordert die Klarstel- 
lung, dass sie sich bei gemeinsam für die Verarbeitung 
Verantwortlichen gemäß Art. 24 sowohl an den für die 
Verarbeitung Verantwortlichen als auch an den Auftrags- 
verarbeiter wenden kann. 

Eine wirksame Kontrolle des Auftragsverarbeiters kann 
nur umfassend erfolgen, wenn dem für die Verarbeitung 
Verantwortlichen in Art. 26 (2) auch ein Kontrollrecht, 
beispielsweise durch einen Treuhänder, eingeräumt wird 
und den Auftragsverarbeiter entsprechende Mitwirkungs- 
pflichten treffen. Dies gilt auch für etwaige Unterauf- 
tragsverhältnisse. 

Die Kriterien und Anforderungen für die Veranfwortlich- 
keiten, Pflichten und Aufgaben des Auftragsverarbeiters 
sind wesentliche Fragen, die letztlich auch die Zulässig- 
keit der Auftragsdatenverarbeitung insgesamt berühren. 
Insbesondere wäre etwa die Einführung und nähere Aus- 
gestaltung eines Konzemprivilegs eine wesentliche 
Frage, die im Sinne von Art. 290 AEUV - soweit in den 
Absätzen 1 bis 4 nicht ohnehin bereits geschehen - in der 
Verordnung selbst geregelt werden sollte. Die Konferenz 
sieht daher die in Art. 26 (5) vorgesehene Ermächtigung 
zu delegierten Rechtsakten kritisch. 

Zu Art. 28: 

ln Art. 28 sollte geregelt werden, dass die Dokumentation 
grundsätzlich vor Aufnahme der Verarbeitung personen- 
bezogener Daten zu erstellen ist. Zudem sollte der für die 
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Verarbeitung Verantwortliche verpflichtet werden, die 
Dokumentation dem Datenschutzbeauftragten (soweit 
vorhanden) zur Verfügung zu stellen. 

Die zeitliche Befristung einer Verarbeitung personenbe- 
zogener Daten ist im Sinne des Erforderlichkeitsprinzips 
ein wesentlicher Grundsatz. Art. 28 (2) lit. g) sollte daher 
in „eine konkrete Angabe der Fristen für die Löschung 
der verschiedenen Datenkategorien“ geändert werden. 

Zu Art. 30 bis 32 allgemein: 

Verfahren mit Personenbezug müssen durch technische 
und organisatorische Maßnahmen, ausgerichtet an den 
Datenschutzzielen, geschützt werden. Dieser Grundsatz 
ist in der Verordnung selbst zu verankern. Die Konferenz 
verweist in diesem Zusammenhang auf Vorbemerkungen 
zu Kapitel IV. Im Übrigen sollten Aufzählungen techni- 
scher und organisatorischer Maßnahmen durch entspre- 
chende Verweise ersetzt werden. 

Zu Art. 30: 

Die in Art. 30 (1) geforderten angemessenen technischen 
und organisatorischen Maßnahmen können nur durch 
eine vorab und kontinuierlich durchgeführte Risiko- 
bewertung bzw. Risikoanalyse gewährleistet werden. IT- 
Sicherheit erfordert in diesem Sinne ein konzeptionelles 
Herangehen sowie die Etablierung von IT-Sicherheits- 
und Datenschutzmanagementsystemen. Art. 30 (1) sollte 
daher durch die Forderung nach einem Sicherheitskon- 
zept ergänzt werden, welches Teil der Verfahrensdoku- 
mentation gemäß Art. 28 (2) lit. h) werden muss. 

Wie in Art. 23 (1) sollte auch in Art. 30 (1) die Bezug- 
nahme auf Implementierungskosten gestrichen werden. 

Zu Art. 32: 

Die in Art. 32 (3) geforderte Verschlüsselung personenbe- 
zogener Daten muss dahingehend präzisiert werden, dass 
sie durch Verfahren nach dem Stand der Technik erfolgen 
muss. 

Zu Art. 33: 

Eine Regelung der Datenschutz-Folgenabschätzung 
(Art. 33), die nachhaltig dem Schutz personenbezogener 
Daten dienen soll, muss die elementaren Datenschutz- 
ziele der Verfügbarkeit, Integrität, Vertraulichkeit, Trans- 
parenz, Nichtverkettbarkeit und Intervenierbarkeit Umset- 
zen, um vollumfänglich Risiken und dafür angemessene 
Maßnahmen identifizieren zu können. Die Ergebnisse 
sind in einem regelmäßigen Monitoring zu überprüfen. 

Die Begriffe der Datenschutz-Folgenabschätzung und der 
Vorab -Genehmigung bzw. -Zurateziehung sollten vonein- 
ander abgegrenzt werden, da sich diese wechselseitig 
nicht ersetzen können. 

Da jede der in Art. 33 (2) lit. a) genannten Auswertungen 
bereits erhebliche Risiken mit sich bringt, sollten die 
Worte „systematische und umfassende“ entfallen. 


Die Konferenz schlägt vor, in Art. 33 (2) lit. c) das Wort 
„weiträumig“ zu streichen, da der Begriff zu unbestimmt 
ist und aus Sicht der betroffenen Person kein Unterschied 
besteht, ob die Überwachung weiträumig oder kleinräu- 
mig stattfindet. 

In Art. 33 (2) lit. d) sollte die Durchführung einer Daten- 
schutz-Folgenabschätzung für die Verarbeitung personen- 
bezogener Daten aus Dateien, die Daten über Kinder, ge- 
netische Daten oder biometrische Daten enthalten, nicht 
vom Umfang der Datei abhängen, sondern in jedem Fall 
erfolgen. Das Wort „umfangreich“ sollte daher gestrichen 
werden. 

Für die Datenschutz-Folgenabschätzung muss auch zwin- 
gend in Art. 33 (3) eine Dokumentationspfiicht aufge- 
nommen werden. 

Schließlich sollte Art. 33 um einen zusätzlichen Absatz 
ergänzt werden, der das Verbot der Datenverarbeitung bei 
unangemessen hohen Eingriffen in die Rechte der Betrof- 
fenen fordert. Grundsätzlich sollten Verfahren ausgewählt 
werden, die den geringsten Eingriff in das Recht auf in- 
formationeile Selbstbestimmung mit sich bringen. 

Zu Art. 34: 

Die Konferenz hält den Vorschlag, dass der interne Da- 
tenschutzbeauftragte die Beantragung einer vorherigen 
Genehmigung bzw. Zurateziehung nach Art. 37(1) lit. f) 
nur überwachen soll, für nicht ausreichend. Zur Entlas- 
tung der Aufsichtsbehörden und zur Stärkung des betrieb- 
lichen Datenschutzes sollte ihm diese Aufgabe komplett 
übertragen werden können. Deutschland hat mit der 
Durchführung der Vorabkontrolle durch die internen Da- 
tenschutzbeauftragten gute Erfahrungen gemacht. 

Zu Art. 35: 

Die Konferenz erkennt an, dass die Institution der be- 
trieblichen Datenschutzbeauftragten erstmals verbindlich 
in Europa eingeführt werden soll. Die Erfahrungen in 
Deutschland mit den betrieblichen Datenschutzbeauftrag- 
ten als unabhängige Kontroll- und Beratungsstellen in 
Unternehmen sind ausgesprochen positiv. 

Es sollte eine Frist geregelt werden, innerhalb derer der 
Datenschutzbeauftragte nach Aufnahme der Daten verar- 
beitenden Tätigkeit zu bestellen ist. Die Konferenz 
schlägt hierfür eine Frist von einem Monat vor. 

Die Konferenz bedauert, dass in Art. 35 (1) lit. b) eine 
Bestellungspflicht für einen Datenschufzbeauftragten ersf 
ab 250 Beschäftigten vorgesehen ist. Dieses Vorhaben be- 
droht eine gewachsene und erfolgreiche Kultur des be- 
trieblichen Datenschutzes in Deutschland. 

Art. 35 (1) lit. c) sollte dahingehend geändert werden, 
dass bei jeder risikobehafteten Datenverarbeitung (z. B. 
Auskunfteien, Detekteien, Callcenter, Lettershops etc.) 
unabhängig von der Mitarbeiterzahl eine Bestellungs- 
pfiicht für einen Datenschutzbeauftragten besteht. Das 
Gleiche gilt für Unternehmen, bei denen eine Daten- 
schutzfolgenabschätzung erforderlich ist. Die Anknüp- 
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fung an die „regelmäßige und systematische Beobachtung 
von betroffenen Personen“ ist insoweit nicht ausreichend. 

Durch die in Art. 35 (7) geregelte Möglichkeit der Befris- 
tung der Amtszeit des Datenschutzbeauftragten kann die 
Unabhängigkeit beeinträchtigt werden. Die Amtszeit des 
internen Datenschutzbeauftragten sollte daher nicht be- 
fristet werden und das dem Amt zugrunde liegende Ar- 
beitsverhältnis nur aus wichtigem Grund kündbar sein. 
Die Amtszeit von externen Datenschutzbeauftragten 
sollte mindestens vier Jahre betragen. 

Art. 35 (11) ist zu streichen. Die Fälle, in denen unabhän- 
gig von der Mitarbeiterzahl ein Datenschutzbeauftragter 
zu bestellen ist, betreffen eine wesentliche Frage und sind 
deshalb in der Verordnung selbst zu regeln. 

Zu Art. 36: 

Der Datenschutzbeauftragte sollte nicht nur ein unmittel- 
bares Vorspracherecht gegenüber der Leitung des für die 
Verarbeitung Verantwortlichen oder des Auftragsverar- 
beiters haben, sondern dieser - als Ausdruck seiner Unab- 
hängigkeit - unmittelbar unterstellt sein. Außerdem sollte 
für interne Datenschutzbeauftragte ein wirksamer arbeits- 
rechtlicher Kündigungsschutz sowie die Aufnahme eines 
Benachteiligungsverbots vorgesehen werden, um seine 
Unabhängigkeit besser zu sichern. 

ln Art. 36 (3) ist das Recht des Datenschutzbeauftragten 
auf Fort- und Weiterbildung sowie die Kostenübemahme 
hierfür zu normieren. Zudem sind Regelungen zur Ver- 
schwiegenheit des Datenschutzbeauftragten sowie zum 
Zeugnisverweigerungsrecht aufzunehmen. 

Zu Art. 37: 

Die Aufgaben des Datenschutzbeauftragten sind in der 
deutschen Sprachfassung missverständlich formuliert. So 
wird sprachlich nicht hinreichend deutlich, ob der Daten- 
schutzbeauftragte beispielsweise selbst die Meldung von 
Verletzungen des Schutzes personenbezogener Daten ge- 
mäß Art. 3 1 vornehmen muss oder diese Meldung nur zu 
überwachen hat (Art. 37 (1) lit. e). 

ln diesem Zusammenhang sollte auch klargestellt wer- 
den, dass die Aufgaben des Datenschutzbeauftragten den 
für die Verarbeitung Verantwortlichen oder Auftragsver- 
arbeiter nicht von seinen Pflichten entbinden bzw., dass 
keine Möglichkeit zur Exkulpation bei Nicht- oder 
Schlechterfüllung seitens des Datenschutzbeauftragten 
besteht. 

Zu Art. 38 und Art. 39: 

ln Art. 39 (2) sollten die wesentlichen Regelungstatbe- 
stände einer Zertifizierung und der Vergabe eines Siegels 
und Zeichens direkt aufgenommen und nicht an die Kom- 
mission delegiert werden. Die Zertifizierungs- und Verga- 
bekriterien sind insbesondere an den Grundsätzen der 
Verarbeitung personenbezogener Daten in Art. 5, der 
Rechtmäßigkeit der Datenverarbeitung gemäß Art. 6, der 
Betroffenenrechte und an den Datenschutzzielen in 
Art. 30 nach Maßgabe der Verordnung auszurichten. 


Zertifizierungs-, Vergabe- und Widerrufsverfahren müs- 
sen den Anforderungen des Grundsatzes der Transparenz 
hinsichtlich der Kriterien, des Verfahrens und der wesent- 
lichen Evaluierungsergebnisse genügen. Die Unabhän- 
gigkeit und Fachkunde der Zertifizierungs- und Vergabe- 
stellen und der Evaluatoren sind zu gewährleisten. 

Eine datenschutzspezifische Zertifizierung gemäß Art. 39 (1) 
beinhaltet stets auch eine Bewertung der IT-Sicherheit. 
Diese sollte sich an europäischen und internationalen 
Standards orientieren und die Datenschutzziele Nicht- 
verkettbarkeit, Transparenz und Intervenierbarkeit aus 
Betroffenensicht einbeziehen. Ein entsprechender Zusatz 
- unter Einbeziehung des Ergänzungsvorschlags der Kon- 
ferenz zu Kapitel IV (elementare Datenschutzziele) - ist 
daher vorzusehen. 

Zertifizierungen sind zeitlich zu befristen. Eine Rück- 
nahme eines Zertifikates bei gravierenden Mängeln muss 
auch vor Fristablauf möglich sein. 

Bei der Ausgestaltung der Verhaltensregeln und Zertifi- 
zierungsverfahren ist der Europäische Datenschutzaus- 
schuss zu beteiligen. 

Kapitel V - Übermittlung personenbezogener 
Daten in Drittländer oder an internationale 
Organisationen 

Zu Art. 41: 

Die Kommission sollte bei der Angemessenheitsprüfung 
nach Art. 41 (2) stets auch die Stellungnahme des Euro- 
päischen Datenschutzausschusses einholen und berück- 
sichtigen müssen. Im Zusammenhang mit Art. 41 (6) 
muss klargestellt werden, dass in den Fällen, in denen die 
Kommission durch Beschluss feststellt, dass kein ange- 
messenes Datenschutz-Niveau gegeben ist, die Daten- 
übermittlung automatisch verboten ist, so dass es keines 
weiteren Umsetzungsaktes durch die Aufsichtsbehörde 
bedarf 

Ferner muss klargestellt werden, ob die Formulierung 
„unbeschadet der Art. 42 - 44“ bedeutet, dass bei einem 
Negativ-Beschluss gleichwohl Datenübermittlungen nach 
allen diesen Vorschriften vorgenommen werden können. 
Insbesondere die Vorschriften des Art. 41 (6) und des 
Art. 42 (1) erscheinen in dieser Frage widersprüchlich. 

Zu Art. 42: 

Da die Genehmigungsfähigkeit der Datenfiüsse von vorn- 
herein fraglich ist, wenn keine geeigneten Garantien vor- 
liegen, ist der Anwendungsbereich der Regelung des 
Art. 42 (5) unklar (Auffangtatbestand?). Deshalb sollte 
der Absatz 5 (bis auf den letzten Satz) entweder gestri- 
chen oder um die genehmigungspflichtigen Fälle prä- 
zisiert werden. 

Zu Art. 43: 

ln Art. 43 (1) sollte die Rechtsfolge der Genehmigung der 
BCR durch die Aufsichtsbehörde explizit aufgenommen 
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werden, z. B. dureh folgenden Satz 2: „ln diesem Fall gilt 
die Genehmigung in der gesamten EU.“ 

Die in Art. 43 (3) genannten Kriterien und Anforderun- 
gen an BCR sollten nieht von der Kommission, sondern 
ausschließlieh von dem Europäisehen Datenschutzaus- 
schuss festgelegt werden. 

Zu Art. 44: 

Es sollte eine Klausel zum Umgang mit Aufforderungen 
zur Datenübermittlung durch Gerichte oder Behörden aus 
Drittstaaten eingefugt werden. Eine (interne) Vorversion 
des Vorschlags der Kommission beinhaltete eine solche 
explizite Klausel. Derartige Aufforderungen sollten hier- 
nach grundsätzlich unbeachtlich sein und unter Geneh- 
migungsvorbehalt durch zuständige nationale Behörden 
stehen. Die Konferenz fordert, dass Datentransfers grund- 
sätzlich nur auf der Basis gegenseitiger Rechtshilfe- 
abkommen (Mutual Legal Assistance Treaties, MLATs) 
zulässig sind. 

ln Art. 44 (1) müssen bei sensitiven Daten zusätzlich zur 
informierten Einwilligung geeignete Garantien vorgese- 
hen werden, weil sonst zwar die Datenübermittlung nach 
Art. 44 (1) lit. a) legitimiert ist, die Datenverarbeitung im 
Drittland aber keinen besonderen Anforderungen unter- 
liegt. Das Wort „zugestimmt“ sollte durch „eingewilligt“ 
(entsprechend Art. 7) ersetzt werden. 

Art. 44 (1) lit. d) darf nicht für den Datenaustausch „zwi- 
schen für die Verhütung, Aufdeckung, Untersuchung und 
Verfolgung von Straftaten zuständigen Behörden“ gelten, 
wie Erwägungsgrund 87 es vorsieht. Dies würde im Wi- 
derspruch zum sachlichen Anwendungsbereich der Ver- 
ordnung nach Art. 2 (2) lit. e) stehen. Deshalb sollten 
diese Fälle in Erwägungsgrund 87 gestrichen werden. 

Der Anwendungsbereich des Art. 44 (1) lit. h) ist unklar. 
Insbesondere ist fraglich, ob es sich um einen Auffangtat- 
bestand handeln soll. Die Regelung muss konkretisiert 
werden, ln jedem Fall muss eine Abwägung der berech- 
tigten Interessen des für die Verarbeitung Verantwortli- 
chen mit den schutzwürdigen Interessen der betroffenen 
Person vorgesehen werden. 

Die Anwendungsbereiche der Art. 44 (3), (4), (6) und (7) 
sind unklar und müssen konkretisiert werden. 

Zu Art. 45: 

Art. 45 (2) sollte dahingehend ergänzt werden, dass neben 
der Kommission auch die Aufsichtsbehörden die Förde- 
rung der Beziehungen zu Drittländern betreiben können, 
und zwar auch - und gerade - zu Drittländern ohne ange- 
messenen Datenschutz. 

Kapitel VI - Unabhängige Aufsichtsbehörden 

Zu Art. 47 uud 48: 

Die Regelung zur völligen Unabhängigkeit der Aufsichts- 
behörden in Art. 47 (1) ist grundsätzlich positiv zu werten. 
Es sollte allerdings überdacht werden, wie die Unabhän- 


gigkeit der Aufsichtsbehörden auch bei der Zusammenar- 
beit mit den anderen Aufsichtsbehörden, insbesondere im 
Rahmen des Kohärenzverfahrens, garantiert werden kann 
(Art. 46 (1) Satz 2). 

Zu Art. 51 : 

Die Regelung des „One-Stop-Shops“ gemäß Art. 51 (2) 
ist nur praktikabel, wenn sie nicht im Sinne einer aus- 
schließlichen Zuständigkeit, sondern im Sinne einer „Fe- 
derführung“ der Aufsichtsbehörde des Mitgliedstaates der 
Hauptniederlassung zu verstehen ist, falls der für die Ver- 
arbeitung Verantwortliche oder der Auftragsverarbeiter 
über mehrere Niederlassungen innerhalb der EU verfügt. 

Der One-Stop-Shop-Grundsatz sollte dann nicht gelten, 
wenn es sich um einen Sachverhalt handelt, der im 
Schwerpunkt die Anwendung nationalen Datenschutz- 
rechts eines Mitgliedstaats im Sinne des Kapitels IX be- 
trifft, so dass es hier bei der allgemeinen Zuständigkeit 
nach Art. 51 (1) bleiben sollte. 

Mangels eines einheitlichen Verwaltungsverfahrens-, -pro- 
zess- und -Vollstreckungsrechts kann die Aufsichtsbe- 
hörde in anderen Mitgliedsstaaten grundsätzlich nicht 
selbst tätig werden. Derartige hoheitliche Maßnahmen 
sollten daher nur im Wege der Amtshilfe möglich sein. 
Diese Klarstellung ist auch im Hinblick auf Art. 55 (1) 
und (2) sowie Art. 63 notwendig. 

Es sollte überprüft werden, ob die sich aus Erwägungs- 
grund 19 ergebende Einbeziehung rechtlich selbständiger 
Tochtergesellschaften in die One-Stop-Shop-Regelung 
tatsächlich erforderlich ist. Diese könnten aufgrund ihrer 
rechtlich selbständigen Handlungsfähigkeit auch getrennt 
betrachtet werden. Sofern eine Einbeziehung für erforder- 
lich gehalten wird, sollte dies einschließlich einer Defini- 
tion des Begriffs Tochtergesellschaft unmittelbar im Ver- 
ordnungstext und nicht nur in einem Erwägungsgrund 
geregelt werden. 

Zu Art. 52: 

Ausgehend von dem Vorschlag, eine Regelung zu „Erzie- 
hung und Bildung“ aufzunehmen (s.o.), sollten auch die 
Aufgaben der Aufsichtsbehörden entsprechend erweitert 
werden. Die Konferenz schlägt für Art. 52 (2) daher fol- 
genden Wortlaut vor: 

,,Jede Aufsichtsbehörde fördert die Information der Öf- 
fentlichkeit über Risiken, Vorschriften, Garantien und 
Rechte im Zusammenhang mit der Verarbeitung perso- 
nenbezogener Daten und über geeignete Maßnahmen 
zum eigenen Schutz. Besondere Beachtung finden dabei 
spezifische Maßnahmen für Kinder. “ 

Die in Art. 52 (6) vorgesehene Missbrauchsgebühr sollte 
gestrichen werden, da nach den Erfahrungen der deut- 
schen Aufsichtsbehörden derartige Beschwerden äußerst 
selten verkommen, so dass - auch im Hinblick auf den 
Verwaltungsaufwand - eine Erhebung von Gebühren un- 
verhältnismäßig wäre. 
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Zu Art. 53: 

Die Konferenz weist daraufhin, dass auch die EU-recht- 
lich gebotene Unabhängigkeit der Aufsichtsbehörden nur 
im Rahmen der jeweiligen verfassungsrechtlichen Staats- 
strukturprinzipien bestehen kann (Art. 4 Abs. 2 EUV). 
Dies gilt insbesondere für deren Sanktionsbefugnisse und 
Sanktionspflichten. 

Art. 53 (2) sollte auch den anlasslosen Zugang zu Ge- 
schäfts- und Diensträumen umfassen. Unklar ist, was in 
Art. 53 (3) mit der Formulierung, dass Verstöße gegen die 
Verordnung den Justizbehörden zur Kenntnis zu bringen 
sind, gemeint ist. 

Zu Art. 54: 

Art. 54 sollte gestrichen werden. Hilfsweise wird ange- 
regt, die Aufsichtsbehörden lediglich zur Erstellung eines 
regelmäßigen Jahresberichts zu verpflichten, der der Öf- 
fentlichkeit (und damit automatisch dem nationalen Par- 
lament, der Kommission, dem Europäischem Datenschutz- 
ausschuss u.a.) zugänglich gemacht werden muss. 

Kapitel VII - Zusammenarbeit und Kohärenz 

Zu Art. 55 uud Art. 56: 

ln dem in Art. 55, 56 geregelten Verfahren der Amtshilfe 
und der Zusammenarbeit sollten die betroffenen Behör- 
den grundsätzlich sowohl im Hinblick auf die rechtliche 
Bewertung eines Sachverhalts als auch hinsichtlich erfor- 
derlicher aufsichtsbehördlicher Maßnahmen einvemehm- 
lich Zusammenwirken. Dies gilt insbesondere dann, wenn 
es sich um eine Maßnahme der federführenden Behörde 
i.S.d. Art. 51 (2) handelt, die von der Aufsichtsbehörde 
eines anderen Mitgliedstaates durchzuführen ist. Bei Di- 
vergenzen im Hinblick auf die Bewertung eines Sachver- 
halts oder die Vornahme aufsichtsbehördlicher Maßnah- 
men sollte der Europäische Datenschutzausschuss von 
den beteiligten Behörden angerufen werden können. 

Die Gründe, aus denen Amtshilfeersuchen nach Art. 55 (4) 
abgelehnt werden können, sind zu eng. Sie sollten auch 
zwingende Hinderungsgründe nach nationalem Recht 
(z. B. im Falle des Sozialgeheimnisses) umfassen. 

ln Fällen, in denen der für die Verarbeitung Verantwort- 
liche oder der Auftragsverarbeiter zwar über mehrere 
Niederlassungen innerhalb der EU verfügt, es sich aber 
um einen rein nationalen Sachverhalt handelt, sollte es 
aus Gründen der Verfahrensökonomie ebenfalls bei der 
allgemeine Zuständigkeitsregelung des Art. 51 (1) blei- 
ben. Anderenfalls würde die Abstimmung mit der Haupt- 
niederlassungsbehörde einen unverhältnismäßigen Ver- 
fahrensaufwand bedeuten, ln diesen Fällen sind die 
Voraussetzungen der Art. 55, 56 (Betroffenheit von Per- 
sonen in mehreren Mitgliedstaaten) nicht erfüllt. 

Unbestimmt ist, was unter „Vorkehrungen für eine wirk- 
same Zusammenarbeit“ in Art. 55 (1) und „praktische As- 
pekte spezifischer Kooperationsmaßnahmen“ in Art. 56 (4) 
zu verstehen ist. Die verfahrenstechnischen Aspekte der 


Amtshilfe und der Zusammenarbeit sollten in Art. 55, 56 
klar formuliert werden. 

Es muss sichergestellt sein, dass hinreichende Mittel be- 
reitstehen, um die praktische Arbeit im Rahmen der 
Amtshilfeleistungen zu erleichtern (insbesondere im Hin- 
blick auf Übersetzungsleistungen, ggfs, durch das Sekre- 
tariat des Datenschutzausschusses). 

Die Ermächtigung der Kommission zum Erlass von 
Durchführungsrechtsakten betreffend „Form und Verfah- 
ren der Amtshilfe (...)“ in Art. 55 (10) sollte präzisiert 
und beschränkt werden. Das Verfahren der Amtshilfe 
sollte in der Verordnung, die Form der Amtshilfe und die 
Ausgestaltung des elektronischen Informationsaustau- 
sches im Sinne einer Standardisierung hingegen in einem 
Durchführungsrechtsakt geregelt werden. 

Zu Art. 58: 

Im Hinblick auf Art. 58 (2) lit. a) sollte klargestellt 
werden, ob hiervon ausschließlich der Fall des Art. 3 (2) 
lit. a), b) umfasst ist, oder ob auch Fälle ohne Drittlandbe- 
zug dem Kohärenzverfahren unterfallen sollen. Ansons- 
ten würden unübersehbar viele Fälle der Kohärenz unter- 
fallen (z. B. Versandhandel innerhalb der EU). 

Zu Art. 59 - Art. 63: 

Die Kompetenzen der Kommission im Verhältnis zum 
unabhängigen Datenschutzausschuss sowie in Bezug auf 
das Kohärenzverfahren (Art. 59 - 63) sind abzulehnen. 
Dies gilt insbesondere im Hinblick auf die umfassenden 
Informationspflichten des Ausschusses gegenüber der 
Kommission und die Befugnis der Kommission zur Auf- 
forderung der Aussetzung aufsichtsbehördlicher Maßnah- 
men. Gleiches gilt hinsichtlich der Ermächtigung der 
Kommission zum Erlass von Durchführungsrechtsakten 
über die „ordnungsgemäße Anwendung“ der Verordnung 
aus Anlass eines aufsichtsbehördlichen Einzelfalles und 
von „sofort geltenden Durchführungsrechtsakten“ in Fäl- 
len „äußerster Dringlichkeit“. Diese Kompetenzen der 
Kommission sind mit Art. 8 (3) Grundrechtecharta und 
16 (2) Satz 2 AEUV nicht vereinbar, weil die Einhaltung 
des EU-Datenschutzes unabhängigen Aufsichtsbehörden 
übertragen ist. Auf der Ebene der Mitgliedstaaten soll die 
Datenschutzkontrolle völlig unabhängig von jeglichem 
Einfluss erfolgen. Daher ist es widersprüchlich, wenn für 
die Kommission mit ihren unterschiedlichsten Aufgaben, 
auch solchen, die in einem Spannungsverhältnis zum Da- 
tenschutz stehen, jene Maßstäbe keine Geltung haben sol- 
len. 

Über Sachverhalte und Maßnahmen, die dem Kohärenz- 
verfahren unterfallen, sollte als Folge der Unabhängigkeit 
der Aufsichtsbehörden - statt der Kommission - aus- 
schließlich der Datenschutzausschuss entscheiden. Im 
Hinblick auf den personellen, sächlichen und zeitlichen 
mit dem Kohärenzverfahren verbundenen Aufwand sollte 
dessen Anwendungsbereich beschränkt werden. Es wird 
wesentlich im Interesse der Funktionsfähigkeit des Kohä- 
renzverfahrens und eines europaweit wirksamen Daten- 
schutzes darauf ankommen, entsprechende Fallgruppen 
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zu definieren. Nicht alle datenschutzrechtlichen Fragen, 
die auch in anderen Mitgliedstaaten der EU auftauchen 
können, bedürfen einer Behandlung im Kohärenzverfah- 
ren. Für dieses eignen sich insbesondere: 

- Fragen des Drittstaatentransfers 

- BCR mit mitgliedstaatenübergreifendem Bezug 

- Konstellationen, in denen unterschiedliche Auffassun- 
gen zwischen einer nach dem One-Stop-Shop-Prinzip 
zuständigen Aufsichtsbehörde und einer anderen Auf- 
sichtsbehörde nicht zu einem einvemehmlichen Er- 
gebnis führen 

- Fälle von grundsätzlicher Bedeutung für den Daten- 
schutz in der EU, insbesondere bei einer Datenverar- 
beitung außerhalb der EU, falls alle Mitgliedstaaten 
betroffen sind und es nicht allein einer untemehmens- 
oder konzemintemen Verteilung von Verantwortlich- 
keiten überlassen bleiben kann, die verantwortliche 
Behörde in Europa festzulegen. 

Es sollte darüber hinaus den Aufsichtsbehörden möglich 
sein, Fragen von sich aus an den Europäischen Daten- 
schutzausschuss heranzutragen. Es ist zu erwägen, ob der 
Ausschuss in Fällen, in denen eine Aufsichtsbehörde von 
der Stellungnahme des Ausschusses abzuweichen beab- 
sichtigt, eine verbindliche Stellungnahme annehmen 
kann, für die ein höheres Abstimmungsquorum als die 
einfache Mehrheit der Mitglieder zu fordern wäre. 

Die Vollstreckbarkeit von Entscheidungen anderer Auf- 
sichtsbehörden nach Art. 63 sollte unter dem Vorbehalt 
stehen, dass es sich hierbei um rechtmäßige Entscheidun- 
gen der nach Art. 5 1 zuständigen Aufsichtsbehörde han- 
delt, die unter Beachtung der Vorschriften des Kapitel Vll 
(Amtshilfe, Zusammenarbeit, Kohärenz) getroffen wur- 
den. 

Zu Art. 64: 

Die umfassende Informationspfiicht über alle Tätigkeiten 
des unabhängigen Ausschusses gegenüber der Kommis- 
sion nach Art. 64 (4) ist unangemessen. 

Zu Art. 66: 

Die Streichung der in Art. 30 (1) lit. d) RL 95/46 aus- 
drücklich enthaltenen Befugnis zur Abgabe von Stellung- 
nahmen zu Verhaltensregeln auf EU-Ebene wird abge- 
lehnt. Der Ausschuss sollte ebenfalls bei der Entwicklung 
von Zertifizierungsverfahren mitwirken und auch, ent- 
sprechend dem jetzigen Art. 30 (1) lit. b) RL 95/46, Stel- 
lung nehmen können zum Schutzniveau in der EU und in 
Drittstaaten. 

Es ist abzulehnen, dass die bisherige Kompetenz der Art. 
29-Gruppe gemäß Art. 30 (3) RL 95/46, „von sich aus 
Empfehlungen zu allen Fragen“ abzugeben, „die den 
Schutz von Personen bei der Verarbeitung personen- 
bezogener Daten in der Gemeinschaft betreffen“, nach 
Art. 66 (1) lit. a) unter der einschränkenden Zweckbe- 
stimmung der Beratung der Kommission stehen soll. 


Über die in Art. 66 genannten Kompetenzen hinaus sollte 
dem Ausschuss ein Stellungnahmerecht insbesondere zu 
Entwürfen der Kommission für delegierte Rechtsakte zu- 
kommen. Auf diesem Wege könnten die Expertise und 
die Kompetenz der Datenschutzbehörden in diesen Be- 
reich eingebracht und gewahrt werden. Zudem würde 
hierdurch die Transparenz des Delegations- und Komito- 
logieverfahrens erhöht. 

Zu Art. 69: 

Art. 69 (1) Satz 2 sollte gestrichen werden. Vorsitz- und 
Stellvertreterposten des Ausschusses sollten ausschließ- 
lich durch eine Wahl besetzt werden. Weshalb dem Euro- 
päischen Datenschutzbeauftragten zumindest die Funk- 
tion eines Stellvertreters zustehen soll, erscheint nicht 
nachvollziehbar, zumal die Verordnung in der derzeitigen 
Entwurfsfassung nicht für Organe und Ämter der EU gilt. 
Kapitel Vlll - Rechtsbehelfe, Haftung und Sanktionen 

Zu Art. 73 bis Art. 79: 

Es ist sicherzustellen, dass durch den neuen Rechtsrah- 
men auch ein EU-weit wirksamer Rechtsschutz für die 
Betroffenen gewährleistet wird. Die in Kapitel Vlll vor- 
gesehenen Regelungen sind unklar gefasst und erfüllen 
diese Voraussetzungen nicht. 

Länderübergreifende Klagen durch Aufsichtsbehörden im 
Namen Betroffener nach Art. 74 (4) gegen Aufsichtsbe- 
hörden anderer Mitgliedsstaaten können zu gegenseitigen 
Kontrollen der Aufsichtsbehörden führen, die im Gegen- 
satz zum sonst geregelten Zusammenarbeitsgebot stehen 
würden. Es wären Klagen möglich, die der eigenen 
Rechtsauffassung der Aufsichtsbehörden zuwiderliefen. 

Kapitel IX - Vorschriften für besondere Daten- 
verarbeitungssituationen 

Zu Art. 80 bis Art. 85: 

Die Art. 81, 82 und 84 eröffnen den Mitgliedsstaaten die 
Befugnis, eigene Regelungen „in den Grenzen dieser Ver- 
ordnung“ zu treffen. Entscheidend ist, dass damit nicht 
nur Konkretisierungen auf der Ebene des durch die Ver- 
ordnung geregelten Datenschutzniveaus möglich sind, 
sondern dass durch nationalstaatliche Regelungen im In- 
teresse des Datenschutzes weitergehende Anforderungen 
normiert werden können. Es sollte eine ausdrückliche 
Klarstellung im Verordnungstext in diesem Sinne erfol- 
gen. Eine solche Regelung müsste mit den unter Art. 6 
und Art. 21 vorgeschlagenen Öffhungsklauseln für mit- 
gliedsstaatliches Recht abgestimmt werden. 

Soweit in den Art. 81 (3) und 82 (3) auf die Möglichkeit 
für die Kommission verwiesen wird, delegierte Rechfs- 
akte zu erlassen, ist deren Geltung auf die Mitgliedstaaten 
zu beschränken, die keinen Gebrauch von der Möglich- 
keit gemacht haben, die betreffenden Sachbereiche selbst 
zu regeln. Anderenfalls würde sich der Rechtsakt selbst in 
Widerspruch setzen. Wenn die Mitgliedstaaten die Er- 
mächtigung bekommen, diese Bereiche selbst zu regeln, 
ist nicht nachvollziehbar, warum der Kommission den- 
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noch weitreichende Regelungskompetenzen zur Konkre- 
tisierung eingeräumt werden sollen. Diese Konkretisie- 
rungen sollten dann konsequenterweise unmittelbar von 
den Mitgliedstaaten selbst vorgenommen werden können. 

Gesundheitsdaten dürfen nach Art. 8 1 (2) unter den glei- 
chen Voraussetzungen zu historischen oder statistischen 
Zwecken sowie zu wissenschaftlichen Zwecken verarbei- 
tet werden wie sonstige personenbezogene Daten. Ge- 
sundheitsdaten sollten aber auch in diesem Zusammen- 
hang stärker geschützt werden. 

Anders als die Art. 80 bis 82 sieht der Art. 83 keine Er- 
mächtigung für die Mitgliedsstaaten vor. Die Vorschrift 
würde also unmittelbar geltendes Recht werden. Die Kon- 
ferenz erwartet hier - ebenso wie bereits bei Art. 6 (3) 
ausgeführt - dass das ausdifferenzierte nationale Statis- 
tikrecht und dessen vielfach strengere Vorgaben (im Ver- 
gleich zum allgemeinen Datenschutzrecht) weiterhin be- 
stehen bleiben können. Dies sollte in Art. 83 klargestellt 
werden. 

ln Art. 85 sollte klargestellt werden, dass sich der Vorbe- 
halt zugunsten kirchlicher Regelungen auf die Bereiche 
beschränkt, die von Art. 17 AEUV erfasst werden (vgl. 
Erwägungsgrund 128). 

Kapitel X - Delegierte Rechtsakte und 
Durchführungsrechtsakte 

Zu Art. 86 und Art. 87: 

Im Hinblick auf die Rechtssicherheit sollten die Delega- 
tionsermächtigungen nach Art. 86 auf ein Mindestmaß 


reduziert werden. Nach Auffassung der Konferenz sind, 
wie bereits ausgeführt, alle wesentlichen materiellen Fra- 
gen in der Verordnung selbst bzw. durch Gesetze der Mit- 
gliedstaaten zu regeln. 

Hinsichtlich der verbleibenden Delegationsermächtigun- 
gen sollte in die Verordnung eine Verpflichtung der Kom- 
mission zur Konsultation des Europäischen Datenschutz- 
ausschusses vor dem Erlass delegierter Rechtsakte 
aufgenommen werden. 

Anhang: Fehler und Übersetzungsfehler 

In Art. 6 (1) lit. c) sollte in der deutschen Übersetzung 
das Wort ,, gesetzlichen“ durch das Wort ,, rechtlichen“ 
ersetzt werden, um auch - wie bisher in Art. 7 lit. c)) der 
RL 95/46/EG - untergesetzliche Normen mit einzubezie- 
hen. Der englische Wortlaut („legal Obligation“) ist in 
beiden Vorschriften identisch. 

ln Art. 26 (1) sollte ,,... dass die betreffenden technischen 
und organisatorischen Maßnahmen ... “ durch ,,... dass 
geeignete technische und organisatorische Maßnahmen 
..." ersetzt werden. 

ln Art. 26 (2) lit.ß sollte ,,... den Auftragsverarbeiter ... “ 
durch ,,... den für die Verarbeitung Verantwortlichen ... “ 
ersetzt werden. 

In Art. 30 (3) muss es im letzten Satz anstatt „Art. 4“ 
„Abs. 4“ heißen. 

In den Art 11 (1), Art 22 (1), Art 37 (1) lit. b) und Art 79 
(6) lit. e) sollte anstatt „Strategie“ eine zutreffendere 
Übersetzung für „policy“ gefunden werden. 
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noch Anlage 5 


Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht 
Frau Dagmar Hartge 

Vorsitzende der Konferenz der Datenschutzbeauftragten des Bundes und der Länder 2012 


Stellungnahme der Konferenz der Datenschutzbeauftragten des Bundes 
und der Länder 

zur 


Richtlinie zum Schutz natüriicher Personen bei der Verarbeitung 
personenbezogener Daten durch die zuständigen Behörden zum Zwecke der 
Verhütung, Aufdeckung, Untersuchung oder Verfoigung von Straftaten oder der 
Strafvoiistreckung sowie zum freien Datenverkehr 

KOM(2012) 10 endg. vom 25.01.2012 

11. Juni 2012 


Ungeachtet der Frage, ob sich die Kompetenz der EU 
zum Erlass einer Richtlinie auf Basis von Art. 16 Abs. 2 
Satz 1 AEUV im Hinblick auf das Prinzip der begrenzten 
Einzelermächtigung und das Subsidiaritätsprinzip auch 
auf rein innerstaatliche Datenverarbeitungsvorgänge im 
Bereich der Gefahrenabwehr, der Strafverfolgung und des 
Strafvollzugs erstreckt, bewertet die Konferenz der Da- 
tenschutzbeauftragten des Bundes und der Länder (Kon- 
ferenz) den Richtlinienentwurf wie folgt: 

Zielsetzung der Richtlinie 

Die Richtlinie sollte durch Mindeststandards für die Mit- 
gliedstaaten ein möglichst hohes Datenschutzniveau fest- 
schreiben. Den Mitgliedstaaten sollte die Möglichkeit 
verbleiben, in ihrem nationalen Recht über die Richtlinie 
hinausgehende datenschutzfreundlichere Regelungen zu 
treffen. Diese grundsätzliche Weichenstellung sollte in 
der Richtlinie selbst vorgenommen werden. 

Eine solche Klarstellung würde nicht nur die durch die 
Rechtsprechung des Bundesverfassungsgerichts (BVerfG) 
entwickelten Datenschutzgrundsätze wahren (z. B. Recht- 
sprechung zum Kembereich der privaten Lebensgestal- 
tung), sondern es darüber hinaus den nationalen Verfas- 
sungsgerichten ermöglichen, den Grundrechtsschutz in 
Zusammenarbeit mit dem Europäischen Gerichtshof wei- 
terzuentwickeln. 

Ohne entsprechende Festlegungen in der Richtlinie be- 
stünde die Gefahr, dass grundrechtswahrende nationale 
Regelungen angesichts der Vorgaben der Richtlinie (die 
Gewährleistung des Datenschutzes und Sicherstellung 
des Datenaustauschs zwischen den Mitgliedstaaten ge- 
mäß Art. 1 (2) lit. b)) im Sinne einer Vollharmonisierung 


als richtlinienwidrig ausgelegt werden. Eine entspre- 
chende Auslegung wäre vor dem Hintergrund der Recht- 
sprechung des Europäischen Gerichtshofs für den Bereich 
der geltenden Datenschutzrichtlinie 95/46/EG keines- 
wegs ausgeschlossen und hätte unvertretbare Konsequen- 
zen, etwa im Hinblick auf die im Strafprozess- und im 
Polizeirecht enthaltenen Schutzvorkehrungen für die 
Rechte der Betroffenen. 

Zu den einzelnen Bestimmungen wird folgendermaßen 
Stellung genommen: 

Kapitel I - Allgemeine Bestimmungen 
Anwendungsbereich (Art. 1-2) 

Die Richtlinie ist gemäß Art. 2(1) sachlich nur anwend- 
bar, wenn eine „zuständige Behörde“ zum Zwecke der 
Verhütung, Aufdeckung, Untersuchung oder Verfolgung 
von Straftaten oder der Strafvollstreckung personenbezo- 
gene Daten verarbeitet. Nicht erfasst sind damit Aufga- 
ben im Bereich der Abwehr von Gefahren, die nicht der 
Abwehr von Straftaten dient (Beispiel: Fahndung nach 
Vermissten ohne Bezug auf das Vorliegen einer Straftat 
oder nach Strafunmündigen). Inwieweit andere Aufgaben 
im Bereich der Grenzkontrolle, des Zolls oder des Auf- 
enthaltsrechts, die je nach der Tradition des Mitgliedstaa- 
tes als eine polizeiliche Aufgabe verstanden werden, 
ebenfalls in den Anwendungsbereich der Richtlinie fal- 
len, dürfte innerhalb der Mitgliedstaaten der EU durchaus 
unterschiedlich beurteilt werden. Nach Auffassung der 
Konferenz sollte vermieden werden, dass dieselbe poli- 
zeiliche Tätigkeit in einem Mitgliedstaat der Verordnung 
und in einem anderen Mitgliedstaat der Richtlinie unter- 
fällt. Für die deutschen Polizeibehörden dürfte aus der 
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vorgesehenen Bestimmung der Anwendungsbereiche von 
Datenschutz-Grundverordnung und Richtlinie folgen, 
dass sie in ihrem heutigen Aufgabenbereich sowohl die 
Datenschutz-Grundverordnung als auch die Richtlinie an- 
zuwenden hätte. Zwar sind Abgrenzungsprobleme für 
Behörden mit polizeilichen Aufgaben nicht neu, wie etwa 
im Bereich von Zollverwaltung und Zollfahndung schon 
heute deutlich wird. Dennoch sollte der daraus folgenden 
Schwierigkeit der Abgrenzung nach Auffassung der Kon- 
ferenz in erster Linie dadurch abgeholfen werden, weitest 
gehende Konsistenz zwischen der Datenschutz-Grund- 
verordnung und der Richtlinie herzustellen. 

Soweit der vorgeschlagene Rechtsakt Mindestanforde- 
rungen auch für die innerstaatliche Datenverarbeitung bei 
Polizei- und Strafverfolgungsbehörden umfasst, ent- 
spricht dies der schon vor einigen Jahren geäußerten For- 
derung der Konferenz. Angesichts der zunehmenden Ver- 
wirklichung des sog. Grundsatzes der Verfügbarkeit 
(Schwedische Initiative, Prümer Vertrag etc), wonach ein 
in einem Mitgliedstaat erhobenes und verarbeitetes Da- 
tum auch den Polizei- und Strafverfolgungsbehörden ei- 
nes anderen Mitgliedstaats zur Verfügung stehen soll, ist 
die Gewährleistung eines hohen Datenschutzniveaus in 
allen Mitgliedsstaaten erforderlich. 

ln Art. 2 (2) wird der Anwendungsbereich im Hinblick 
auf die Umstände der Verarbeitung bestimmt (automati- 
siert/nicht-automatisiert). Die Konferenz weist insofern 
daraufhin, dass der Wortlaut insbesondere auf der Grund- 
lage der deutschen Fassung im Unklaren lässt, ob auch 
Akten von dem Anwendungsbereich umfasst sind. Im Er- 
gebnis sollte die Richtlinie auf die Erhebung und die Ver- 
arbeitung personenbezogener Daten unabhängig von dem 
Verarbeitungsmedium Anwendung finden. Eine Unter- 
scheidung zwischen automatisierter bzw. nicht-automati- 
sierter Verarbeitung einerseits und Verarbeitung in Akten 
anderseits ist nicht sachgerecht. Dies sollte klargestellt 
werden. 

Nach Art. 2 (3) lit. a) soll die Richtlinie keine Anwen- 
dung finden, sofern personen-bezogene Daten im Rah- 
men einer Tätigkeit verarbeitet werden, die nicht in den 
Anwendungsbereich des Unionsrechts fällt, etwa im Be- 
reich der „nationalen Sicherheit“. Die Konferenz hält es 
für erforderlich, den Begriff der „nationalen Sicherheit“ 
zu präzisieren. 

Der Richtlinienvorschlag nimmt auch die Organe und 
Einrichtungen der EU (u. a. Europol) vom Anwendungs- 
bereich aus. Ungeachtet der Frage, durch welches Rechts- 
instrument die Einrichtungen der EU erfasst werden soll- 
ten, wäre es aus Sicht der Konferenz nicht sachgerecht, 
sie von den Reformbemühungen um ein erhöhtes Daten- 
schutzniveau auszunehmen. Wenn das Ziel der Daten- 
schutzreform ist, einen umfassenden Rechtsrahmen auf 
einem hohen Datenschutzniveau in Europa zu schaffen, 
sollte dieser auch für die Einrichtungen der EU gelten. 
Zwar ist nachvollziehbar, dass die komplexen Regelun- 
gen der ehemaligen 3. Säule nur schwer in einem einzi- 
gen Gesetzespaket überarbeitet werden können. Es muss 
jedoch vermieden werden, dass für die Einrichtungen der 
EU andere Maßstäbe gelten als für die Polizei- und Justiz- 


behörden der Mitgliedstaaten. Die Konferenz regt daher 
eine zügigere als in Art. 60 vorgesehene Anpassung der 
bestehenden Vorschriften an. Es ist zumindest zu prüfen, 
ob das mit der Richtlinie zu setzende Mindestniveau für 
alle Mitgliedstaaten auch für alle besfehenden Einrichtun- 
gen der EU zum Mindestniveau erklärt werden könnte. 

Begriffsbestimmungen (Art. 3) 

Zu den Begriffsbestimmungen ist im Rahmen der Richtli- 
nie auf folgende Besonderheiten hinzuweisen: 

Die Definition eines Kindes in Art. 3 (13) sollte gestri- 
chen werden, da hieran im Entwurf einer Richtlinie keine 
spezifischen Verarbeitungsregeln bzw. Schutzgarantien 
geknüpft sind. 

Im Hinblick auf die Regelung in Art. 7 lit. d) sollte eine 
Definition für den Begriff der „Gefahr für die öffentliche 
Sicherheit“ aufgenommen werden. 

Im Hinblick auf die Regelung in Art. 16 (3) sollte die De- 
finition der „Einschränkung der Verarbeitung“ in Art. 3 (4) 
überarbeitet werden. 

Kapitel II - Grundsätze 

Grundsätze in Bezug auf die Verarbeitung 
personenbezogener Daten (Art. 4) 

Wesentliche Grundlagen für den effektiven Schutz perso- 
nenbezogener Daten sind u. a. enge Vorgaben für die An- 
forderungen an die Erforderlichkeit, die Zweckbindung 
und die Datensparsamkeit. Die Prinzipien der Datenver- 
arbeitung gemäß Art. 4 bedürfen nach Auffassung der 
Konferenz insgesamt der Ergänzung und Präzisierung. 
Sie sollten grundsätzlich mehr Konsistenz zu den Prinzi- 
pien aufweisen, die in Art. 5 für die Datenschutz-Grund- 
verordnung vorgeschlagen sind. 

Die Regelung zur Zweckbindung in Art. 4 lit. b) enthält 
eine sehr offene Formulierung zur zweckändemden Wei- 
terverarbeitung („nicht in einer mit diesen Zwecken nicht 
zu vereinbarenden Weise“). Sie sollte nach Auffassung 
der Konferenz strikter gefasst werden, insbesondere vor 
dem Hintergrund der unklaren und offenen Regelung des 
Art. 7 zur Rechtmäßigkeit der Verarbeitung. Es sollte 
klargestellt werden, dass Art. 4 und 7 im Zusammenwir- 
ken nicht so verstanden werden dürfen, dass ein einmal 
im Anwendungsbereich der Richtlinie für einen bestimm- 
ten Zweck erhobenes Datum ohne weitere gesetzliche Vo- 
raussetzungen für jeden anderen von der Richtlinie er- 
fassten Zweck weiterverarbeitet werden darf 

Es sollte zudem eine engere Bestimmung des Grundsat- 
zes der Erforderlichkeit in Art. 4 lit. c) formuliert werden. 
Die Bestimmungen „angemessen, sachlich relevant und 
nicht exzessiv“ stellen nach Auffassung der Konferenz 
nur eine schwache Begrenzung für die Zulässigkeit der 
Datenverarbeitung dar. Dies gilt insbesondere deshalb, 
weil eine Beschränkung auf das für die Zwecke der Da- 
tenverarbeitung notwendige Mindestmaß, wie sie in 
Art. 5 lit. c) der Datenschutz-Grundverordnung vorgese- 
hen ist, in dem Entwurf für die Richtlinie fehlt. Zudem 
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wird die Datensparsamkeit nicht als Grundsatz aufge- 
fiihrt. Es entsteht vielmehr der Eindruck, dass der Grund- 
satz der Erforderlichkeit kaum mehr beinhaltet als das 
Verbot exzessiver Datenverarbeitung. 

Als weiterer Grundsatz sollte die Verpflichtung aufge- 
nommen werden, dass bei der Verarbeitung personenbe- 
zogener Daten immer die technischen und organisatori- 
schen Maßnahmen zum Datenschutz einzuhalten sind. 

ln sprachlicher Hinsicht sollte es in Art. 4 lit. a) auch in 
der deutschen Fassung „Fairness“ bzw. „faires Verfahren“ 
anstelle von „nach Treu und Glauben“ heißen. 

Unterscheidungen nach Kategorien von Betroffenen, 
Richtigkeit und Betroffenheit (Art. 5 und Art. 6 ) 

Der Entwurf sieht vor, dass die Mitgliedstaaten bei der 
Verarbeitung personenbezogener Daten sowohl im Hin- 
blick auf verschiedene Personenkategorien (Verdächtige, 
verurteilte Straftäter, Zeugen, Opfer etc., Art. 5) als auch 
im Hinblick auf die Richtigkeit und Zuverlässigkeit der 
Daten (Art. 6) - so weit wie möglich - Unterscheidungen 
vorzunehmen haben. Unterscheidungen nach anderen 
Kriterien, die für das deutsche Recht maßgeblich sind, 
sieht der Entwurf nicht vor. Dabei geht es beispielsweise 
um die Frage, ob der Eingriff den Kembereich der per- 
sönlichen Lebensgestaltung berührt oder die Daten aus 
besonders einschneidenden Grundrechtseingriffen (Tele- 
kommunikationsgeheimnis, Unverletzlichkeit der Woh- 
nung) herrühren. Damit das erreichte und nach deutschem 
Verfassungsrecht unabdingbare Schutzniveau erhalten 
bleiben kann, sollte die Richtlinie Mindeststandards und 
keine Obergrenzen für mitgliedstaatliche Regelungen re- 
geln. 

Sowohl in Art. 5 als auch in Art. 6 bleibt offen, was aus 
den vorzunehmenden Unterscheidungen bzw. was aus 
dem Unterlassen der Unterscheidung folgen soll. Die 
Konferenz befürwortet insbesondere engere Grenzen für 
die Verarbeitung von Daten zu bestimmten Personengrup- 
pen (z. B. Opfer oder Zeugen von Straftaten). 

Rechtmäßigkeit der Verarbeitung (Art. 7) 

Artikel 7 enthält die zentrale Vorschrift zur Bestimmung 
der Rechtmäßigkeit von Datenverarbeitungen. Dabei be- 
darf die in Art. 7 getroffene Unterscheidung zwischen 
lit. a), b), c) und d) nach Auffassung der Konferenz der 
weiteren Erläuterung. 

Ebenfalls erläuterungsbedürftig ist das Zusammenwirken 
dieser Vorschrift mit den in Art. 4 aufgeführten Prinzipien 
der Datenverarbeitung, insbesondere im Hinblick auf den 
Grundsatz der Zweckbindung. 

Die Konferenz begrüßt, dass eine Einwilligung als Legiti- 
mation für die Datenverarbeitung im Bereich der Richtli- 
nie ausgeschlossen ist. Ihre Anwendung ist von der Kon- 
ferenz wiederholt infrage gestellt worden, insbesondere 
dann, wenn dadurch die Grenzen der gesetzlichen Befug- 
nisse erweitert werden sollen. 


Kapitel III - Rechte der betroffenen Personen 

Rechte der Betroffenen (Art. 10 - 17) 

Umfangreiche Rechte der Betroffenen sind wesentlich für 
ein hohes Datenschutzniveau. Um den Richtlinienentwurf 
zu einer geeigneten Grundlage für die Erweiterung der 
Betroffenenrechte in den Mitgliedstaaten zu machen, be- 
darf es einzelner Klarstellungen und Änderungen. 

Besonderer Klärungsbedarf besteht im Hinblick auf 
Art. 17 i. V. m. Erwägungsgrund 82. Der Konferenz ist 
weder klar, in welchen Fällen Art. 17 anwendbar ist, 
noch, welche Folgen die Anwendbarkeit von Art. 17 hat. 
Die Auslegung wird zudem dadurch erschwert, dass die 
deutsche und die englische Fassung („Gerichtsbeschluss“ 
oder „Gerichtsdokument“/„judicial decision or record“) 
unterschiedliche Interpretationen nahe legen. Eine Klar- 
stellung ist in dieser Frage von besonderer Bedeutung, 
weil davon letztlich abhängt, ob und inwieweit die Be- 
troffenenrechte während des gesamten staatsanwaltli- 
chen Ermittlungsverfahrens gelten. 

Nach Auffassung der Konferenz sollten die in den 
Art. 11-16 gewährten Rechte grundsätzlich auch im Be- 
reich des staatsanwaltlichen Ermittlungsverfahrens An- 
wendung finden. Mindesfsfandards bezüglich der Ausge- 
staltung der Betroffenenrechte zählen zu den zentralen 
Elementen eines hohen Datenschutzniveaus und müssen 
auch bei der Verarbeitung personenbezogener Daten 
durch Staatsanwaltschaften gelten. 

Darüber hinaus sind die Möglichkeiten der Mitgliedstaa- 
ten, die Betroffenenrechte einzuschränken, zu weitge- 
hend. Als nicht vertretbar sieht die Konferenz die Rege- 
lungen in Art. 11 (5) und Art. 13 (2) der Richtlinie an. Sie 
eröffnen dem Gesefzgeber die Möglichkeit, bei bestimm- 
ten Datenkategorien die Information bzw. die Auskunfts- 
erteilung an den Betroffenen per se auszuschließen, ohne 
dass eine Abwägung im Einzelfall erfolgen muss. Es 
sollte vielmehr in Art. 11 und 13 klargestellt werden, 
dass Einschränkungen stets nur nach Prüfung des Einzel- 
falls zulässig sind. 

Es ist nachvollziehbar, dass die Information des Betroffe- 
nen bzw. sein Auskunftsrecht in bestimmten Fällen (zu- 
nächst) beschränkt werden muss. Die Beschränkungen 
müssen allerdings in der Richtlinie hinreichend konkret 
bestimmt werden. Insofern werfen die Art. 11 (4) und 
Art. 13 (1) erneut Fragen auf Sie eröffnen einen zu wei- 
ten Spielraum für den nationalen Gesetzgeber, die Rechte 
der Betroffenen einzuschränken. 

Die Information der betroffenen Person über die Erhe- 
bung personenbezogener Daten sollte zudem unverzüg- 
lich (d. h. ohne schuldhaftes Zögern) erfolgen. Die An- 
gabe „innerhalb einer angemessenen Frist“ in Art. 11 (3) 
lit. b ist insoweit zu unbestimmt. 

ln Art. 15 sollte klargestellt werden, ob unter einem „Kor- 
rigendum“ eine Richtigstellung zu verstehen ist. 

Zudem sollte der Richtlinienentwurf dahingehend ergänzt 
werden, dass den Betroffenen in geeigneten Fällen neben 
dem Auskunftsrecht auch ein Akteneinsichtsrecht zu ge- 
währen ist. 
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Kapitel IV - Für die Verarbeitung Verant- 
wortlicher und Auftragsverarbeiter 

Vorschriften über die Verarbeitung Verantwortlicher 
und Auftragsverarbeiter (Art. 18 - 32) 

Die Konferenz bedauert, dass die Vorschrift zu „Daten- 
schutz durch Technik“ („privacy by design“) in Art. 19 
keine konkreten Vorgaben macht und so zu einem reinen 
Programmsatz ohne praktische Auswirkungen werden 
könnte. Zudem könnte die ausdrückliche Bezugnahme 
auf die Berücksichtigung der entstehenden Kosten in der 
vorliegenden Formulierung zu einem Einfallstor für das 
Unterlassen von Maßnahmen zur datenschutzfreundli- 
chen Technikgestaltung werden. 

Bei verschiedenen Vorschriften des Kapitels IV sieht die 
Konferenz einen weiteren Klarstellungsbedarf Dazu 
gehört das Verhältnis der „unabhängigen internen oder 
externen Prüfer“ zum Datenschutzbeauftragten und zu 
den Aufsichtsbehörden nach Art. 18 (3). Dazu gehören 
ebenso die Regelungsgehalte der Art. 20 und 22 (z. B. 
hinsichtlich der Kontrollpflichten des Auftragnehmers) 
und das Verhältnis der Art. 20 und 2 1 zueinander. 

Die in Art. 23 (2) formulierten Dokumentationspflichten 
sollten ergänzt werden durch eine Beschreibung der be- 
troffenen Personengruppen, der diesbezüglichen Daten 
oder Datenkategorien und durch eine Festlegung von Re- 
gelfristen zur Datenlöschung. 

Die Vorschriften über die Datensicherheit (Art. 27 - 29) 
sollten um Datenschutzzielbestimmungen ergänzt wer- 
den. 

Die nach Art. 27 (2) erforderliche Risikobewertung ist 
nur als angemessene Sicherheitsmaßnahme zu bewerten, 
wenn eine kontinuierlich durchgeführte Risikobewertung 
bzw. Risikoanalyse gewährleistet ist. IT-Sicherheit erfor- 
dert in diesem Sinne ein konzeptionelles Herangehen so- 
wie die Etablierung von IT-Sicherheits- und Datenschutz- 
managementsystemen. Artikel 27 sollte daher durch die 
Forderung nach einem Sicherheitskonzept, welches Teil 
der Verfahrens-dokumentation gemäß Art. 23 (2) werden 
muss, ergänzt werden. 

Die in Art. 28 (5) enthaltene Delegation an die Kommis- 
sion bedarf der Überprüfung. Die Kriterien und Anforde- 
rungen für die Fesfsfellung einer Verletzung des Schutzes 
personenbezogener Daten sind so wesentlich, dass sie im 
Rechtsakt selbst bestimmt werden sollten. 

Die in Art. 29 (3) geregelte Pflicht zur Benachrichtigung 
der betroffenen Person von einer Verletzung des Schutzes 
personenbezogener Daten sollte nicht davon abhängig ge- 
macht werden, ob die verantwortliche Stelle ausreichende 
technische Schutzmaßnahmen getroffen hat. 

Bei den Pflichten des für die Verarbeitung Verantwortli- 
chen und des Auftragsverarbeiters sollten in der Richtli- 
nie entsprechend den Vorgaben der Datenschutz-Grund- 
verordnung nicht nur die „vorherige Zurateziehung“ 
(„prior consultation“) der Datenschutzbehörden, sondern 


auch eine Folgenabschätzung („privacy impact assess- 
ment“) durch die jeweilige Stelle vorgesehen werden. 

Bei den Anforderungen an den Datenschutzbeauftragten 
ist der Begriff der „Zuverlässigkeit“ aufzunehmen 
(Art. 30 (2). Darüber hinaus sollte eine Verschwiegen- 
heitspflicht des Datenschutzbeauftragten festgelegt wer- 
den sowie die Aufnahme eines Benachteiligungsverbots, 
eines Kündigungsschutzes und die Möglichkeit der Teil- 
nahme an Fort- und Weiterbildungsveranstaltungen. 

ln Art. 32 der Richtlinie sollte zudem klargestellt werden, 
dass die Aufgaben des Datenschutzbeauftragten die ver- 
antwortliche Stelle nicht von ihren eigenen Pflichten ent- 
bindet, d. h., dass sie sich nicht unter Verweis auf die 
Nicht- oder Schlechterfüllung durch den Datenschutzbe- 
auftragten exkulpieren kann. Insbesondere Art. 32 lit. a), 
lit. d) und lit. h) sind insoweit missverständlich. 

Kapitel V - Übermittlung personenbezogener 
Daten in Drittländer oder an internationale 
Organisationen 

Die Vorschriften zu den Übermittlungen von personenbe- 
zogenen Daten in Drittstaaten sind in einem wichtigen 
Punkt widersprüchlich und sind insgesamt zu weit ge- 
fasst. 

Im Hinblick auf die Übermittlung von personenbezoge- 
nen Daten an internationale Organisation sollte in Art. 33 
klargestellt werden, dass nur solche internationale Orga- 
nisationen gemeint sind, die einen Bezug zu Fragen der 
inneren Sicherheit aufweisen. Dies gilt ebenso für die 
sog. Weiterübermittlungen („onward transfers“), die in ei- 
ner spezifischen Vorschrift geregelt werden sollten. 

Es fehlt eine Klarstellung, dass bestehende Angemessen- 
heitsbeschlüsse, die auf der Grundlage der RL 95/46/EG 
ergangen sind, für den Jl-Bereich nicht gelten. 

Entsprechend den bisherigen Regelungen in der Richtli- 
nie 95/46/EG enthält der Vorschlag die Einführung von 
Angemessenheitsbeschlüssen zum Datenschutzniveau 
von Drittstaaten. Sofern die Kommission einen solchen 
Beschluss gefasst hat, ist die Angemessenheit des Daten- 
schutzniveaus verbindlich festgestellt. Es bedarf aller- 
dings der Klarstellung, dass bei Negativbeschlüssen der 
Kommission nach Art. 34 (5) Datenübermittlungen nur 
auf der Grundlage der Ausnahmen nach Art. 36, nicht 
aber auf der Grundlage des Art. 35 (1) vorgenommen wer- 
den dürfen. Die Vorschriften des Art. 34 (5) und Art. 35 (1) 
sind in dieser Frage widersprüchlich. 

Die Möglichkeit der Mitgliedstaaten, personenbezogene 
Daten auf der Grundlage einer eigenen Einschätzung in 
Drittstaaten zu übermitteln, ist im Hinblick auf Art. 35(1) 
lit. b) zu unbestimmt gefasst. Jedenfalls ist eine Bezug- 
nahme auf Art. 34 (2) lit. a) vorzunehmen, der die bei der 
Angemessenheitsentscheidung zu berücksichtigenden 
Faktoren aufführt. Darüber hinaus sollte die Einbezie- 
hung des Auftragsverarbeiters in Art. 35 gestrichen wer- 
den. 
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Die Konferenz hält die Ausnahmevorschrift des Art. 36 
für zu weit gefasst. Dies gilt insbesondere für lit. d) und 
lit. e), nach denen kaum noch eine Übermittlung denkbar 
ist, die nicht auf eine der Ausnahmeklauseln gestützt wer- 
den könnte. Die Konferenz regt daher im Hinblick auf die 
in den lit. a) bis e) enthaltenen Ausnahmevorschriften die 
Streichung der lit. d) und e) an. Zudem sollte in Art. 36 
eine Dokumentationspflicht entsprechend des Art. 35 (2) 
aufgenommen werden. 

Artikel 37 bezieht sich auf die Übermittlung von Daten in 
Drittstaaten, für die auf nationaler Ebene besondere Ver- 
wendungsbeschränkungen gelten. Insofern seien alle „ver- 
tretbaren Vorkehrungen“ zu treffen, um diese Beschrän- 
kungen einzuhalten. Dies ist nach Auffassung der 
Konferenz zu unbestimmt und sollte daher, insbesondere 
auch bezüglich der zu ergreifenden technischen und orga- 
nisatorischen Maßnahmen, konkretisiert werden. Die 
Vorschrift sollte zudem um die Verpflichtung ergänzt 
werden, den Empfänger der übermittelten Daten über Be- 
richtigungs- und Löschungsansprüche zu informieren. 

Artikel 37 ist nicht auf Übermittlungen zwischen den 
Mitgliedstaaten anwendbar. Daher muss die Richtlinie an 
geeigneter Stelle klarstellen, dass die in den nationalen 
Vorschriften der Mitgliedstaaten enthaltenen Verwen- 
dungsbeschränkungen und Mitteilungspflichten auch für 
Datentransfers innerhalb der Europäischen Union gelten. 
Die Richtlinie sollte die Daten empfangenden Mitglied- 
staaten verpflichten, die Verwendungsbeschränkungen 
des übermittelnden Mitgliedstaates umzusetzen. 

Schließlich sollte die Regelung des Art. 38 dahingehend 
ergänzt werden, dass neben der Kommission auch die 
Aufsichtsbehörden die Förderung der Beziehungen zu 
Drittländern betreiben können, und zwar auch - und ge- 
rade - zu Drittländern ohne angemessenen Schutz. 

Kapitel VI und VII - Unabhängige Aufsichts- 
behörden und Zusammenarbeit 

Die Regelungen zur Unabhängigkeit sind grundsätzlich 
positiv zu werten, ln Art. 39 (1) Satz 2 sollte allerdings 
klargestellt werden, dass die Unabhängigkeit der Auf- 
sichtsbehörden auch bei der Zusammenarbeit mit der 
Kommission sowie den anderen Aufsichtsbehörden ga- 
rantiert sein muss. 

Eine im Bereich von Polizei und Justiz zentrale Frage be- 
trifft die Zuständigkeit von Datenschutzbehörden bei der 
Datenverarbeitung durch Gerichte im Rahmen ihrer ge- 
richtlichen Tätigkeiten. Im Text von Art. 44 (2) sollte un- 
missverständlich klargestellt werden, dass der Ausschluss 
der Zuständigkeit der Aufsichtsbehörden sich nicht auf 
Akte der Exekutive bezieht, die nach nationalem Recht 
unter Beteiligung eines Richters zustande gekommen sind 
(in Deutschland etwa im Hinblick auf Maßnahmen der 
Strafverfolgungsbehörden, die einem Richtervorbehalt 
unterlegen haben). 

ln Art. 45 (4) sollte verdeutlicht werden, dass die Nut- 
zung eines Formulars für Beschwerden nicht verbindlich 


ist und technische Schutz Vorkehrungen im Sinne des 
Art. 27 zu treffen sind. 

Die Konferenz begrüßt, dass Art. 46, insbesondere lit. b), 
die bisherige Ausgestaltung der aufsichtsbehördlichen 
Befugnisse im deutschen Recht auch weiterhin zulässt, 
ohne Änderungen für die Zukunft auszuschließen, wie die 
Verleihung von Anordnungskompetenzen. Die Frage der 
Ausgestaltung der Befugnisse für die Aufsichtsbehörden 
ist von besonderer Bedeutung und steht in engem Zusam- 
menhang mit der Möglichkeit der gerichtlichen Aus- 
einandersetzung zwischen der Aufsichtsbehörde und der 
beaufsichtigten Stelle und/oder dem Betroffenen (vgl. 
Art. 51). 

Zur Vermeidung jeden Zweifels, der aus dem Vergleich 
mit der Datenschutz-Grundverordung resultieren könnte, 
sollte gleichfalls in der Richtlinie ausdrücklich klarge- 
stellt werden, dass Art. 46 auch den anlasslosen Zugang 
zu Diensträumen umfasst. 

Zuletzt muss sichergestellt sein, dass hinreichende Mittel 
bereitstehen, um die praktische Arbeit im Rahmen der 
Amtshilfeleistungen zu erleichtern (insbesondere im 
Hinblick auf Übersetzungsleistungen, ggf durch das 
Sekretariat des Datenschutzausschusses). Die Amtshilfe- 
verpflichtung nach Art. 48 sollte durch Ausnahmevor- 
schriften, etwa zum Schutz von Geheimhaltungsvor- 
schriften, ergänzt werden. 

Kapitel VIII - Rechtsbehelfe, Haftung und 
Sanktionen 

Die Erweiterung der Vertretungsbefugnis für Einrichtun- 
gen, Organisationen und Verbände gemäß Art. 50 (2) ist 
grundsätzlich zu begrüßen. 

ln Art. 51 (1) sollte klargestellt werden, dass gerichtliche 
Rechtsbehelfe nur gegen Entscheidungen der Aufsichts- 
behörde mit Regelungswirkung gegenüber Bürgern und 
anderen Behörden möglich sind. 

ln Art. 51 (2) sollte klargestellt werden, dass die vorgese- 
hene Klagemöglichkeit gegen die Aufsichtsbehörde auf 
die Untätigkeit der Aufsichtsbehörde begrenzt ist. Die un- 
klare Formulierung „wenn keine zum Schutz ihrer Rechte 
notwendige Entscheidung ergangen ist“ sollte gestrichen 
werden. 

Die Regelung über gemeinsame Vorschriften zum Ge- 
richtsverfahren (Art. 53) sieht in Absatz 2 vor, dass jede 
Aufsichtsbehörde das Recht hat (im Englischen: „shall 
have the right“), Klage zur Durchsetzung der in der 
Richtlinie enthaltenen Rechte zu erheben. Die Konferenz 
spricht sich dafür aus, Art. 53 (2) so zu ändern, dass die 
Mitgliedstaaten eine entsprechende Berechtigung der 
Aufsichtsbehörden vorsehen können, jedoch nicht hierzu 
verpflichtet sind. 

Die in Art. 54 (2) der Richtlinie vorgesehene Einführung 
einer gesamtschuldnerischen Haftung aller an der Verar- 
beitung beteiligten Stellen wird von der Konferenz als 
sinnvoll angesehen und daher begrüßt. 
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Kapitel IX und X - Delegierte Rechtsakte und 

Durchführungsbestimmungen, 

Schlussbestimmungen 

Die Konferenz begrüßt, dass internationale Übereinkom- 
men, die von den Mitgliedstaaten vor Inkrafttreten der 
Richtlinie geschlossen worden sind, innerhalb von fünf 
Jahren überarbeitet werden sollen, um sie in Übereinstim- 
mung mit den Vorgaben der Richtlinie zu bringen 
(Art. 60). Es sollte klargestellt werden, dass die Richtlinie 
insofern nur als ein Mindestniveau anzusehen ist und in 
keinem Fall eine Herabstufung bestehender höherer Stan- 
dards zu erfolgen hat. Die bisher fehlende Anwendbarkeit 


der Richtlinie auf die Einrichtungen der EU darf nicht 
dazu führen, dass die zwischen der EU und Drittstaaten 
vereinbarten Abkommen (wie etwa das TFTP-Abkom- 
men oder das PNR-Abkommen) von dieser Regelung 
ausgenommen sind. 

Entsprechend der allgemeinen Forderung der Konferenz 
sollte eine substanziellere Vorschrift für die Evaluierung 
der Richtlinie aufgenommen werden, als dies gegenwär- 
tig in Art. 61 (3) vorgesehen ist. Die Evaluierungsklausel 
sollte auch die Hinzuziehung von externem Sachverstand 
enthalten. 
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Anlage 6 


Bonn, 18. Januar 2013 


Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit 

Handreichung zum datenschutzgerechten Umgang mit besonders schützenswerten Daten 
beim Versand von De-Mail 

Die Handreichung soll die Nutzer von De-Mail für die datenschutzrechtlichen Aspekte bei der Versendung besonders 
schützenswerter Daten mittels De-Mail sensibilisieren. Sie soll Hinweise für einen datenschufzgerechten Versand die- 
ser Daten mittels De-Mail unter Berücksichtigung der Möglichkeit einer Ende-zu-Ende- Verschlüsselung geben, um da- 
mit zu einer rechtssicheren und weiten Verbreitung von De-Mail-Diensten beizutragen. 


Am 3. Mai 2011 ist das De-Mail-Gesetz in Kraft getreten. 
Auf Grundlage dieses Gesetzes können sich Unterneh- 
men akkreditieren lassen, um De-Mail-Dienste anzubie- 
ten. De-Mail-Dienste sind nach § 1 Abs. 1 De-Mail-Ge- 
setz Telekommunikationsdienste auf einer elektronischen 
Plattform, die eine sichere, vertrauliche und nachweisbare 
Kommunikation für jedermann im Intemef gewährleisfen 
sollen. Die De-Mail isf letztlich eine besondere Form der 
E-Mail. Sie soll ohne zusätzliche Hard- und Software ge- 
nauso einfach bedienbar sein, aber die Nachteile der E- 
Mail ausgleichen. Eine E-Mail kann nämlich mit gerin- 
gem technischem Aufwand abgefangen, mitgelesen und 
verändert werden. 

Das De-Mail-Gesetz stellt einerseits Anforderungen an 
Datenschutz und Datensicherheit beim De-Mail-Dienste- 
anbieter (DMDA) und regelt andererseits, wie De-Mail 
für die rechtssichere elektronische Kommunikation ein- 
gesetzt werden kann. Dies bedingt einige Besonderheiten 
im Vergleich zur Nutzung von E-Mail-Diensten, so z. B. 
eine eindeutige Identifizierung vor der erstmaligen Nut- 
zung von De-Mail. De-Mail bietet die Gewähr dafür, dass 
der Absender einer De-Mail zweifelsfrei ermittelt werden 
kann. Absende- und Eingangsbestätigungen, die mit einer 
qualifizierten elektronischen Signatur des DMDA verse- 
hen werden, bieten den sicheren Nachweis, dass die De- 
Mail versendet wurde und eingegangen ist. Schließlich 
wird die Nachricht durch den Anbieter transport- und in- 
haltsverschlüsselt. 

Das De-Mail-Gesetz fordert: 

- Der akkreditierte DMDA hat sicherzustellen, dass die 
Kommunikationsverbindung zwischen dem Nutzer 
und seinem De-Mail-Konto verschlüsselt erfolgt. 

- Der Versand von einem DMDA zu jedem anderen 
DMDA muss über einen verschlüsselten gegenseitig 
authentisierten Kanal erfolgen. 

- Der Inhalt einer De-Mail-Nachricht muss vom DMDA 
des Versenders zum DMDA des Empfängers ver- 
schlüsselt übertragen werden. 


Die technischen Details lassen sich wie folgt zusammen- 
fassen: 

- Die Nachricht vom Versender an seinen DMDA und 
weiter vom DMDA des Empfängers an den Empfän- 
ger isf auf der Transportebene jeweils einfach durch 
Transportverschlüsselung gesichert (TCP -t- SSL/TLS). 
Die Authentisierung des Clients erfolgt automatisch 
mittels SSL-Handshake. Eine zertifikatsbasierte Client- 
authentifizierung wird optional unterstützt. 

- Die Nachricht ist zwischen dem DMDA des Versen- 
ders und dem DMDA des Empfängers doppelt gesi- 
chert: auf Anwendungsebene durch Inhaltsverschlüs- 
selung und Signatur der Nachricht (S/MIME) sowie 
auf Transportebene durch Transportverschlüsselung 
(TCP -I- implizitesl SSL/TLS). Eine gegenseitige 
Clientauthentisierung muss zwingend zertifikatsba- 
siert erfolgen. 

- Die Transportverschlüsselung (TLS) ist eine Punkt- 
zu-Punkt- Verschlüsselung (SSL-Handshake), wes- 
halb die Nachricht nach dem Versand wieder unver- 
schlüsselt vorliegt. Auf Transportebene liegt die Nach- 
richt also in einem zufälligen Bitmuster vor, jedoch 
wäre sie auf Anwendungsebene ohne weiteres im 
Klartext zu lesen. 

- Die Inhaltsverschlüsselung (S/MlME) ist eine Ende- 
zu-Ende- Verschlüsselung, wird aber gemäß TR De- 
Mail nur zwischen zwei DMDA gefordert. 

§ 3 Abs. 4 Nr. 4 De-Mail-G sieht vor, dass der DMDA die 
De-Mail auf Befall mit Schadsoftware überprüfen muss. 
Vor dem Versand der Nachricht an den DMDA des Emp- 
fängers liegt diese beim DMDA des Versenders unver- 
schlüsselt vor, so dass er sie zu diesem Zeitpunkt auf 
Schadsoftwarebefall hin prüfen kann. Anschließend leitet 
er die Nachricht zusätzlich zur Transportverschlüsselung 
inhaltsverschlüsselt an den DMDA des Empfängers wei- 
ter. Ist die Nachricht beim DMDA des Empfängers einge- 
gangen, wird die Inhaltsverschlüsselung aufgehoben und 
die Nachricht wiederum auf Schadsoftwarebefall hin ge- 
prüft. Abschließend wird die Nachricht verschlüsselt im 
Postfach des Empfängers abgelegf. Nach jeder Prüfung 
wird die Nachricht in den Metadaten mit einem Hinweis 
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Abbildung 1 


DMDA DMDA 

Versender Versender Empfänger Empfänger 



Anwendungsebene HTTP, SMTP 



ISZXi 

TLS/SSL 


Transport/erschlüsselung 


§ 4 Abs. 3 DeMailG 



_ ^ TLS/SSL* 

<C' ^nsportverschlüssel^ a^ 

§ 5 Abs. 3 Nr. 1 DeMailG 
S/MIME 

<r ^haltsverschlüsselur^ ^^^^ 

§ 5 Abs. 3 Nr. 2 DeMailG 


TLS/SSL 

<f^^ näniportverschlüsselu^ ^^^2> 

§ 4 Abs. 3 DeMailG 



versehen, ob die Überprüfung zu einem Befund geführt 
hat. Dieser Prüfprozess erfolgt zwar automatisiert auf 
Servern in einem Rechenzentrum des DMDA, das den 
Vorgaben des BSl entspricht. Zudem gibt es weitere tech- 
nische und organisatorische Maßnahmen, die einen Zu- 
griff durch einen Innen- wie auch einen Außentäter ver- 
hindern sollen. Gleichwohl besteht ein Restrisiko, dass 
insbesondere Administratoren des Anbieters vom Nach- 
richteninhalt Kenntnis nehmen. 

Im Gegensatz dazu stellt die Ende-zu-Ende-Verschlüsse- 
lung eine durchgängige Verschlüsselung zwischen Ver- 
sender und Empfänger dar und bietet sich daher für eine 
Versendung besonders schutzbedürftiger Daten an. Dies 
wird vom De-Mail-Gesetz jedoch nicht gefordert. Für den 
DMDA ergeben sich dementsprechend keine Pflichten. 
Er darf den Versand Ende-zu-Ende-verschlüsselter Nach- 
richten lediglich nicht verhindern. Faktisch bedeutet dies, 
dass sich die Nutzer selbst um die Installation und Nut- 
zung einer Verschlüsselungssoftware kümmern müssen. 
Eine Prüfung auf Schadsoftware kann der DMDA dann 
allerdings nicht durchführen. Problematisch ist zudem, 
dass Nachrichten nur dann verschlüsselt versendet wer- 
den können, wenn auch der Empfänger eine entspre- 
chende Kryptografiesoftware einsetzt. Dies führt zu Ver- 
unsicherungen und Erschwernissen, die sich hätten 
vermeiden lassen, wenn die Ende-zu-Ende-Verschlüsse- 
lung zu den mit De-Mail bereitgestellten Standardmaß- 
nahmen gehören würde. 

Da die bisher akkreditierten DMDA für den Privatanwen- 
der bislang nur den Zugang per Web-Client ermöglichen, 
ist eine Ende-zu-Ende- Verschlüsselung für diesen derzeit 
kaum praktikabel. Der Versender muss die zu übermit- 
telnde Nachricht auf seinem lokalen Rechner erstellen 


und mit einer Kryptografiesoflware verschlüsseln. Da- 
nach meldet er sich über den Web-Client an seinem De- 
Mail Konto an, erzeugt eine leere „Pseudo“-De-Mail und 
hängt dieser per Upload die verschlüsselte Datei an. Wirt- 
schaftsuntemehmen und die öffentliche Verwaltung ha- 
ben es hier einfacher, da die Anbindung an De-Mail über 
ein Gateway erfolgt, d. h. im Firmen- bzw. Behördennetz- 
werk können normale E-Mail-Clients wie Outlook oder 
Lotus Notes genutzt werden, die von Hause aus eine Ver- 
schlüsselung unterstützen, so dass diese weitestgehend 
automatisiert erfolgen kann. 

Es ist ein Grundsatz des Datenschutzes, dass bei der elek- 
tronischen Übertragung personenbezogener Daten die In- 
tegrität, Authentizität und Vertraulichkeit der Daten si- 
chergestellt sein muss. Je schützenswerter ein Datum ist, 
desto strenger sind die technisch-organisatorischen Maß- 
nahmen, die die verantwortliche Stelle einhalten muss. 
Bei bestimmten personenbezogenen Daten wie zum Bei- 
spiel Gesundheitsdaten, spielt besonders die Vertraulich- 
keit eine große Rolle. Unbefugte sollen in keinen Fall 
Kenntnis von diesen Daten erhalten. Bei der elektroni- 
schen Kommunikation wird die Vertraulichkeit dadurch 
gewährleistet, dass die Nachricht und ihre Anhänge mit 
einer geeigneten Software verschlüsselt werden. Betrof- 
fen sind hiervon alle besonders schutzbedürftigen perso- 
nenbezogenen Daten, also solche, die potentiell eine be- 
sondere Sensibilität aufweisen. Dies gilt etwa für 
personenbezogene Daten an deren Verarbeitung und Nut- 
zung besondere gesetzliche Anforderungen gestellt wer- 
den, wie z. B. die so genannten besonderen Arten perso- 
nenbezogener Daten nach § 3 Abs. 9 BDSG oder die dem 
Sozialdatenschutz unterfallenden personenbezogenen Da- 
ten. Welche Schutzmaßnahmen für diese Daten angemes- 
sen sind, ergibt sich allerdings nicht automatisch, sondern 
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bedarf einer Prüfung im Einzelfall, die im Folgenden wei- 
ter ausgeführt wird. 

Mangels entsprechender gesetzlicher Vorgaben im De- 
Mail-Gesetz sind nicht die DMDA, sondern die Versen- 
der von De-Mails für die Beachtung datenschutzrechtlich 
angemessener Verfahren verantwortlich. Um ein ange- 
messenes Schutzniveau bei der Versendung besonders 
schutzbedürftiger personenbezogener Daten (z. B. Sozial- 
daten oder Daten die Rückschlüsse auf den Gesundheits- 
zustand einzelner Betroffener zulassen) mittels De-Mail 
zu gewährleisten, ist aus datenschutzrechtlicher Sicht 
eine Ende-zu-Ende- Verschlüsselung grundsätzlich erfor- 
derlich. Die Vorgaben des De-Mail-Gesetzes, die Techni- 
sche Richtlinie des BSl nach § 18 Abs. 2 De-Mail-Gesetz 
und der Kriterienkatalog des BfDl gemäß § 18 Abs. 3 
Nr. 4 De-Mail-Gesetz machen zwar deutlich, dass bei De- 
Mail das Datenschutz- und Datensicherheitsniveau im 
Vergleich zum E-Mail- Versand erheblich höher ist. Trotz- 
dem müssen über diesen Mindeststandard hinaus beim 
Versand besonders schutzbedürftiger Daten grundsätzlich 
zusätzliche Schutzvorkehrungen getroffen werden. 

Ob eine Ende-zu-Ende-Verschlüsselung im Einzelfall die 
datenschutzrechtlich angemessene Sicherungsmaßnahme 
darstellt, orientiert sich an dem konkreten Schutzbedarf 
der Daten. Dieser ist zunächst anhand der Grundschutz- 
methodik des BSl von der datenverarbeitenden Stelle 
festzustellen: 

- Bei einer Schutzbedarfsfeststellung ist grundsätzlich 
danach zu fragen, welcher Schaden entstehen kann, 
wenn die Grundwerte Vertraulichkeit, Integrität oder 
Verfügbarkeit verletzt werden. Es muss also gefragt 
werden, welcher Schaden eintritt, wenn vertrauliche 
Informationen unberechtigt zur Kenntnis genommen 
oder weitergegeben werden (Verletzung der Vertrau- 
lichkeit), die Korrektheit der Informationen und die 
Funktionsweise von Systemen nicht mehr gegeben ist 
(Verletzung der Integrität) oder autorisierte Benutzer 
am Zugriff auf Informationen und Systeme behindert 
werden (Verletzung der Verfügbarkeit). Dabei wird 
zwischen den Schutzbedarfskategorien „normal“, 
„hoch“ und „sehr hoch“ unterschieden. Der Schaden, 
der von einer Verletzung der Grundwerte ausgehen 
kann, kann sich auf verschiedene Schadensszenarien 
beziehen: 

- Verstöße gegen Gesetze, Vorschriften oder Ver- 
träge, 

- Beeinträchtigungen des informationellen Selbstbe- 
stimmungsrechts, 

- Beeinträchtigungen der persönlichen Unversehrt- 
heit, 

- Beeinträchtigungen der Aufgabenerfüllung, 

- negative Außenwirkung oder 

- finanzielle Auswirkungen. 

- Beim Schutzbedarf „normal“ sind die Schadensaus- 
wirkungen begrenzt und überschaubar. Beim Versand 


von Daten mit dem Schutzbedarf „normal“ ist eine 
Ende-zu-Ende-Verschlüsselung dann nicht notwendig. 

- Beim Schutzbedarf „hoch“ können die Schadensaus- 
wirkungen beträchtlich sein. Beim Versand von Daten 
mit dem Schutzbedarf „hoch“ ist eine Ende-zu-Ende- 
Verschlüsselung grundsätzlich erforderlich. Auf sie 
kann jedoch dann verzichtet werden, wenn die daten- 
verarbeitende Stelle anhand einer Risikoanalyse zu 
dem Ergebnis kommt, dass sie aufgrund der getroffe- 
nen technischen und organisatorischen Sicherheits- 
maßnahmen das Restrisiko im Bereich des Versenders 
als vertretbar bewertet. Versender und Empfänger 
müssen sich aber auf jeden Fall an ihrem Konto im 
Sinne des § 4 Abs. 1 Satz 2 De-Mail-Gesetz sicher an- 
melden. 

- Beim Schutzbedarf „sehr hoch“ können die Schadens- 
auswirkungen bei unberechtigtem Zugriff ein existen- 
tiell bedrohliches Ausmaß erreichen. Beim Versand 
von Daten mit dem Schutzbedarf „sehr hoch“ ist eine 
Ende-zu-Ende-Verschlüsselung zwingend notwendig. 

- Bei der Schutzbedarfsanalyse ist Folgendes zu beach- 
ten: 

- Die Einstufung des jeweiligen personenbezogenen 
Datums kann je nach Kontext, in dem das Datum 
verwendet wird, unterschiedlich sein. So ist bei- 
spielsweise der Schutzbedarf einer Adresse im Re- 
gelfall behördlicher Anwendungen normal oder 
hoch. Befindet sich die betroffene Person aber in 
einem Zeugenschutzprogramm, ist der Schutzbe- 
darf sehr hoch und die Daten dürften nur mit Ende- 
zu-Ende-Verschlüsselung übertragen werden. 

- Sozial- und Steuergeheimnisdaten sind zwar nach 
dem Gesetz insofern als besonders schützenswert 
eingestuft, als ihre Verarbeitung zum Teil besonde- 
ren Restriktionen unterliegt. Allerdings bedeutet 
dies nicht, dass sämtliche Sozial- und Steuerge- 
heimnisdaten Ende-zu-Ende-verschlüsselt werden 
müssen. Die Tatsache, dass eine Person beispiels- 
weise bei einer bestimmten gesetzlichen Kranken- 
kasse versichert ist, ist im Regelfall kein besonders 
schützenswertes Datum. 

- Gesundheitsdaten unterliegen dagegen in aller 
Regel dem Schutzbedarf „sehr hoch“. Dies gilt 
wiederum auch unabhängig vom Kontext als So- 
zialdatum. Auch die Angabe von besonderen Be- 
lastungen bei Krankheitsaufwendungen im Zusam- 
menhang mit einer Einkommenssteuererklärung 
sind besonders schutzbedürftig, auch wenn Steuer- 
geheimnisdaten nicht automatisch Ende-zu-Ende- 
verschlüsselt werden müssen. 

Neben der Schutzbedarfsanalyse muss für eine Einschät- 
zung der notwendigen Sicherheitsmaßnahmen beim Ver- 
sand besonders schutzbedürftiger Daten auch berücksich- 
tigt werden, wer Versender und Empfänger der De-Mail 
isf: 

- Versenden Behörden oder andere Institutionen beson- 
ders schutzbedürftige personenbezogene Daten unmit- 
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telbar an den Betroffenen, richtet sich die Verpflich- 
tung zur Ende-zu-Ende-Verschlüsselung grundsätzlich 
nach dem im Wege der Schutzbedarfsanalyse ermittel- 
ten Schutzbedarf der Daten. Daneben muss der Ver- 
sender vor dem Versand das Einverständnis des poten- 
tiellen Empfängers einholenf Dies sollte mindestens 
einmalig für alle diesen Transportweg betreffenden 
Kommunikationsvorgänge erfolgen. Zusätzlich muss 
für den Versand besonders schutzbedürftiger Daten 
mittels De-Mail an den Betroffenen eine individuelle 
Zugangseröffnung vorliegend. Dies gilt insbesondere 
für eine differenzierte Betrachtung bei der Zugangser- 
öffnung gegenüber Behörden. Der Bürger sollte die 
Möglichkeit haben, den Zugang differenziert nach ein- 
zelnen Behörden zu gestalten. 

- Versenden Behörden oder andere Institutionen wie 
etwa gesetzliche Krankenkassen, die mit besonders 
schutzbedürftigen personenbezogenen Daten Dritter 
umgehen, solche Daten untereinander, muss die Nach- 
richt im Ergebnis auch ohne ein Schutzbedarfsanalyse 
Ende-zu-Ende verschlüsselt werden. Betrachtet man 
den Versand einzelner Nachrichten, würde eine 
Schutzbedarfsanalyse an sich zu dem Ergebnis kom- 
men, dass in bestimmten Fällen (z. B. beim Schutzbe- 
darf „normal“) eine Ende-zu-Ende-Verschlüsselung 
nicht erforderlich ist. Hier muss aber berücksichtigt 
werden, dass im Falle eines unberechtigten Zugriffs 
beim DMDA durch die Vielzahl der versandten bzw. 
empfangenen Daten ein erhöhtes Angriffsrisiko und 
Schadenspotential vorliegt (Kumulationseffekt). Au- 
ßerdem kann der Betroffene nicht entscheiden, auf 


• Dies gilt generell für den Versand personenbezogener Daten, also 
auch für solche, die als nicht besonders schutzbedürftig eingestuft 
werden. 

2 Vgl. Fußnote 1. 


welche Weise seine Daten versandt werden. Die Tatsa- 
che, dass der Betroffene in diesen Fällen keinen Ein- 
fluss auf die Ausgestaltung der De-Mail-Nutzung neh- 
men kann, darf nicht zu einer Absenkung des 
Datenschutzniveaus bei der Versendung besonders 
schutzbedürftiger Daten mittels De-Mail führen. 
Schließlich kann man davon ausgehen, dass solche 
Einrichtungen den De-Mail-Dienst über ein Gateway 
nutzen können und daher eine Ende-zu-Ende-Ver- 
schlüsselung in diesen Fällen mit vertretbarem techni- 
schen Aufwand möglich ist. Die Verpflichtung gilt un- 
abhängig von der Größe der Einrichtung und 
unabhängig davon, ob eine gesetzliche Pflicht zur Da- 
tenverarbeitung besteht. Letztlich führt die einheitli- 
che Behandlung alle Nachrichteninhalte in diesem 
Kommunikationsverhältnis auch zur einer handhabba- 
ren Anwendung für Versender und Empfänger. 

Der Entwicklungsstand der Technik und die tatsächliche 
Verfahrensweise im Umgang mit De-Mail muss beobach- 
tet werden. Daraus können sich in Zukunft neue oder an- 
dere Anforderungen des Datenschutzes an die Verwen- 
dung von De-Mail und die Verschlüsselung ergeben. Die 
DMDA werden aufgefordert, leicht handhabbare Ver- 
schlüsselungsoptionen für die Nufzer zu entwickeln. Dies 
kann auch Datenschutzverstöße aufgrund einer fehlerhaf- 
ten Schutzbedarfsfeststellung der verantwortlichen Stelle 
verhindern. 

Schließlich müssen auch die internen Verfahrensabläufe 
bei der versendenden sowie bei der empfangenden Stelle 
betrachtet werden, also z. B. die Verknüpfung des Fach- 
verfahrens mit dem De-Mail-Postfach und interne Zu- 
griffsberechtigungen in den Unternehmen und Behörden. 
Auch diese müssen datenschutzkonform ausgestaltet sein 
und die Sicherheit der Daten gewährleisten. 
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Anlage 7 


I Der Bundesbeauftragte 
TUT I für den Datenschutz und 
I die Informationsfreiheit 



Datenschutzrechtliche Grundlagen der Videoüberwachung 
in der öffentlichen Verwaltung des Bundes 

Stand: Februar 2013 

Nach einer Erhebung des Bundesbeauftragten für den Datenschutz und die Informationsfrei- 
heit (BfDI) im Jahr 2011 werden in der Bundesverwaltung über 17.500 Videokameras im 
Innen- und Außenbereich eingesetzt. 

Werden personenbezogene Daten (§ 3 Abs. 1 Bundesdatenschutzgesetz [BDSG]) durch Vi- 
deoüberwachungstechnik erhoben und/oder verarbeitet, stellt dies einen Eingriff in das Recht 
auf informationeile Selbstbestimmung der Betroffenen - Passanten, Besucher, Anwohner, 
Mitarbeiter der Dienststelle - dar. Dies gilt unabhängig davon, ob die erhobenen Bilddaten 
dauerhaft aufgezeichnet oder lediglich auf einen Monitor übertragen werden. Der Eingriff in 
das grundrechtlich geschützte Recht auf informationeile Selbstbestimmung (Artikel 2 Ab- 
satz 1 i. V. m. Artikel 1 Absatz 1 des Grundgesetzes) bedarf stets einer besonderen Rechtfer- 
tigung. 

Bei der datenschutzrechtlichen Beurteilung der Zulässigkeit der Videoüberwachung spielt die 
Unterscheidung zwischen öffentlich zugänglichen und nicht öffentlich zugänglichen Räumen 
eine wichtige Rolle: 

Liegenschaften von Behörden des Bundes sind in der Regel nicht dazu bestimmt, von einem 
unbestimmten Personenkreis betreten und genutzt zu werden (nicht öffentlich zugängliche 
Räume). Etwas anderes gilt beispielsweise bei den ebenfalls der Kontrolle des BfDI unterlie- 
genden Jobcentern, die über Amtsbereiche mit Publikumsverkehr verfügen. Aber auch dort, 
wo eine Nutzungsmöglichkeit durch die Allgemeinheit nicht gegeben ist, kann die Video- 
überwachung öffentlich zugängliche Bereiche erfassen, zum Beispiel Gehwege im öffentli- 
chen Straßenraum. Die Videoüberwachung dieser allgemein zugänglichen Bereiche kann not- 
wendig sein, um auf der Grundstücksgrenze verlaufende Häuserfassaden vor Schäden durch 
Vandalismus zu schützen oder ein unbefugtes Übertreten der Grundstücksgrenzen zu verhin- 
dern bzw. zu dokumentieren (Objektsicherung, Zugangskontrolle). Da die Videoüberwachung 
im öffentlich zugänglichen Bereich viele Personen trifft, die keinen Anlass für die Überwa- 
chung gegeben haben, müssen deren schutzwürdige Belange angemessen berücksichtigt wer- 
den. 
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Auch dort, wo in nicht öffentlich zugänglichen Räumen Beschäftigte oder andere Personen 
mittels Videoüberwachung erfasst werden, müssen datenschutzrechtliche Vorgaben beachtet 
werden. Dies gilt auch für Bereiche, die nur mit individueller Erlaubnis oder nach einer Zu- 
gangskontrolle betreten werden können. Für die Beschäftigten ist der mit der Überwachung 
des Dienstgebäudes (Eingangsbereiche, Büroflure, Parkplatz, Sicherheitsbereiche) verbunde- 
ne Eingriff in das Recht auf informationeile Selbstbestimmung von besonderer Intensität, weil 
sie regelmäßig keine Möglichkeit haben, sich der Videoüberwachung zu entziehen. 

Werden öffentlich zugängliche Räume zum Zweck der Eigensicherung der verantwortlichen 
Stelle überwacht, richtet sich dies nach § 6b BDSG (Abschnitt 1). Die Videoüberwachung 
von Beschäftigten in nicht öffentlich zugänglichen Räumen bestimmt sich hingegen nach 
§ 32 i.V.m. § 12 Absatz 4 BDSG (Abschnitt 2). Im Anschluss wird die Videoüberwachung 
durch die Bundespolizei nach § 27 Bundespolizeigesetz als eine bereichsspezifische Regelung 
zur Videoüberwachung (auch) öffentlich zugänglicher Räume dargestellt (Abschnitt 3). Sol- 
che bereichsspezifische Regelungen gehen § 6b BDSG vor (vgl. § 1 Abs. 3 BDSG). 


I. Videoüberwachung öffentlich zugänglicher Räume, § 6b BDSG 

1. Rechtsgrundlage 

Die datenschutzrechtliche Zulässigkeit der Videoüberwachung öffentlich zugänglicher Räume 
richtet sich nach § 6b BDSG. Eine Einwilligung der Betroffenen kommt hier als Legitimati- 
onsgrundlage aus praktischen Gründen nicht in Betracht. Allein das Betreten eines video- 
überwachten Bereichs in Kenntnis der Videoüberwachung stellt keine Einwilligung dar. 


Für die Anwendbarkeit des § 6b BDSG ist ohne Belang, ob lediglich eine reine Beobachtung 
erfolgt oder die erfassten Bilder dauerhaft aufgezeichnet (gespeichert) werden (Gesetzesbe- 
gründung, BT-Drs. 14/4329, S. 38). Bereits die Beobachtung (Kamera-Monitor-Prinzip) öf- 
fentlich zugänglicher Räume ohne Aufzeichnungsfunktion stellt wegen ihrer potentiell verhal- 
tenslenkenden Wirkung einen Eingriff in das Grundrecht auf informationeile Selbstbestim- 
mung dar und muss sich an § 6b BDSG messen lassen. 


2. Öffentlich zugänglicher Raum 

Öffentlich zugängliche Räume sind alle Bereiche, die dazu bestimmt sind, von einem unbe- 
stimmten Personenkreis betreten und genutzt zu werden. Es kommt nicht darauf an, ob die 
Bereiche umschlossen oder überdacht sind. Öffentlich zugängliche Räume können somit in- 
nerhalb und außerhalb von Gebäuden liegen. 


3. Erfassung personenbezogener Daten 

Voraussetzung für die Anwendbarkeit des BDSG ist, dass personenbezogene Daten erhoben, 
verarbeitet oder genutzt werden. Personenbezogene Daten sind Einzelangaben über persönli- 
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che oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (§ 3 
Abs. 1 BDSG). 

Abstrakte Kriterien, ab wann ein Personenbezug zu bejahen ist, bestehen nicht. Insbesondere 
hat sich eine technische Definition (z.B. anhand der Pixelzahl) als nicht praktikabel erwiesen. 
Maßgeblich ist somit stets der Einzelfall, der anhand der Bildqualität (Entfernung, Auflösung) 
zu beurteilen ist. Kein Personenbezug besteht bei solchen Übersichtsaufnahmen, bei denen 
einzelne Personen aufgrund der Bildauflösung auch durch nachträgliche Vergrößerung oder 
sonstige Bearbeitungsschritte nicht individualisiert werden können. 


Der Personenbezug ist bei dem Einsatz von Videoüberwachungstechnik regelmäßig zu beja- 
hen. Es ist schließlich Ziel der Videoüberwachung, potentielle Störer zu erkennen und zu 
überfiihren. Es reicht aus, dass einzelne Personen aufgrund der Bildaufnahmen erkennbar und 
somit individualisierbar sind. Es kommt nicht darauf an, dass die von der Videoüberwachung 
erfasste Person der verantwortlichen Stelle namentlich bekannt ist oder von ihr identifiziert 
werden kann. 


4. Zweck der Videoüberwachung 

§ 6b BDSG knüpft die Zulässigkeit der Videoüberwachung öffentlich zugänglicher Räume an 
konkrete Überwachungszwecke. Öffentliche Stellen dürfen Videoüberwachung entweder zur 
Aufgabenerfüllung (§ 6b Abs.l Nr. 1) oder zur Wahrnehmung ihres Hausrechts (§ 6b 
Abs. 1 Nr. 2) einsetzen. Auf die in § 6b Abs. 1 Nr. 3 BDSG ebenfalls vorgesehene „Wahr- 
nehmung berechtigter Interessen“ können sich öffentliche Stellen nicht berufen (Beschluss- 
empfehlung und Bericht des Innenausschusses, BT-Drs. 14/5793, S. 61). Zu beachten ist au- 
ßerdem, dass die Videoüberwachung gegenüber Beschäftigten allein aufgrund des Hausrechts 
nicht gerechtfertigt ist. Da die Beschäftigten sich der Überwachung nicht durch Verlassen der 
Räumlichkeiten entziehen können, unterliegt das Hausrecht insoweit Einschränkungen (BAG, 
Beschluss vom 14. Dezember 2004, 1 ABR 34/03, NJOZ 2005, 2708, 2714). 

Die Zwecke der Videoüberwachung müssen bereits vor Inbetriebnahme der Anlage konkret 
festgelegt und im Verfahrensverzeichnis dokumentiert werden. Eine Videoüberwachung für 
unbestimmte Zwecke ist unzulässig. 

Der Einsatz von Videoanlagen in der Bundesverwaltung dient in aller Regel der Eigensiche- 
rung der jeweiligen Liegenschaften. Dadurch sollen Schäden an dem überwachten Gebäude 
und der sich darin aufhaltenden Personen (Objektsicherung) oder das Betreten durch unbefug- 
te Personen (Zugangskontrolle) verhindert bzw. zur Beweissicherung dokumentiert werden. 
Videoüberwachung kann sowohl präventive (Abwehr von drohenden Gefahren) als auch re- 
pressive Ziele (Dokumentation von Verstößen) verfolgen. 
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Bei dem Einsatz von Videoüberwachungstechnik zu präventiven Zwecken (Gefahrenabwehr) 
genügt die bloße Behauptung oder Vermutung einer Gefährdungslage grundsätzlich nicht. 
Andererseits muss es in der Vergangenheit nicht bereits zu konkreten Vorfällen gekommen 
sein, um eine Videoüberwachung zu begründen. Erforderlich, aber auch ausreichend ist das 
Vorliegen konkreter Anhaltspunkte, die das Bestehen einer Gefährdungslage nach der allge- 
meinen Lebenserfahrung wahrscheinlich erscheinen lässt (abstrakte Gefahr). Bei der Gefah- 
renprognose ist einerseits die Höhe der möglichen Schäden, andererseits die Wahrscheinlich- 
keit eines Vorfalls zu berücksichtigen. 


Erfolgt die Überwachung zur Beobachtung von Besuchern, ist sicherzustellen, dass zweckent- 
ifemdende Leistungskontrollen der miterfassten Beschäftigten ausgeschlossen sind. Eine sol- 
che Kontrolle wäre mit der Zweckbestimmung der Datenerhebung und -Speicherung unver- 
einbar. 


5. Erforderlichkeit 

Der Einsatz von Videoüberwachungstechnik darf nur erfolgen, wenn kein milderes, gleich 
geeignetes Mittel zur Verfügung steht, mit dem sich die verfolgten Zwecke erreichen lassen. 

Bei der Beschränkung auf das erforderliche Maß spielen technisch-organisatorische Maßnah- 
men (§ 9 BDSG) eine wichtige Rolle. Schon vor der Inbetriebnahme einer Videoüberwa- 
chungsanlage sollten folgende Fragen berücksichtigt werden: 

• Muss eine permanente Videoüberwachung erfolgen oder kann sie zeitlich begrenzt 
werden (z.B. Videoüberwachung nur innerhalb oder außerhalb der Dienstzeiten, an- 
lassbezogene Aktivierung)? 

• Bedarf es einer Aufzeichnung oder genügt eine Übertragung auf einen Monitor (z.B. 
beim Einsatz eines Wachdienstes, ggf mit anlassbezogener Aktivierung der Aufzeich- 
nung)? 

• Kann der verfolgte Zweck auch auf andere Weise erreicht werden (z.B. Schutz vor 
unbefugtem Betreten durch Zugangskontrollsysteme, Umzäunungen; Schutz vor Van- 
dalismus durch bessere Beleuchtung, häufigere Kontrollen durch den Sicherheits- 
dienst)? 

• Muss zwingend ein großflächiger Bereich überwacht werden oder kann die Video- 
überwachung räumlich beschränkt werden? Können nicht überwachungsbedürftige 
Zonen (digital) ausgeblendet werden? 

• Die Aufnahmen und Aufzeichnungen sind vor unberechtigter Nutzung angemessen zu 
schützen, z.B. durch Aufstellung der Server in verschließbaren Räumen, Passwort- 
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schütz, Festplattenverschlüsselung, Vergabe von Zugriffsberechtigungen, revisionssi- 
chere Protokollierung des Zugriffs. Zudem sind die Monitore so aufzustellen, dass 
Unbefugte keinen Einblick nehmen können. Für eine fristgerechte datenschutzrechtli- 
che Löschung der Daten ist zu sorgen. 

• Die technisch-organisatorischen Mindestanforderungen an digitale Videoüberwa- 
chungsanlagen werden in dem gemeinsam von BfDI und dem Bundesamt für Sicher- 
heit in der Informat ionstechnik (BSI) entwickelten Schutzprofil für Videoüberwa- 
chungsanlagen^ beschrieben. Das Video-Schutzprofil enthält technische Anforderun- 
gen, die von digitalen Videosystemen erfüllt sein müssen, damit sie gemäß den Be- 
stimmungen der Datenschutzgesetze des Bundes und der Länder eingesetzt werden 
können. Das Schutzprofil definiert einen Mindestsatz an Sicherheitsfunktionalität, der 
bei der Beschaffung, der Installation und dem Betrieb von Videoüberwachungsanla- 
gen zu beachten ist. Es legt besonderen Wert darauf, dass die Funktionen für einen si- 
cheren Zugriffsschutz, eine datenschutzrechtliche Löschung der Daten sowie eine re- 
visionssichere Protokollierung vorhanden sind. 

Bei der Überwachung der Liegenschaft ist zudem darauf zu achten, dass die Kontrollbefugnis 
der verantwortlichen Stelle an der Grundstücksgrenze endet. Sollen an der Grundstücksgrenze 
verlaufende Hausfassaden oder Umzäunungen kontrolliert werden, muss sich die Videobeo- 
bachtung des öffentlichen Straßenraums auf das unbedingt erforderliche Maß beschränken. 
Allenfalls ein Toleranzbereich von einem Meter ab der Grundstücksgrenze ist als noch zuläs- 
sig anzusehen, sofern schutzwürdige Interessen dem nicht entgegenstehen (vgl. AG Berlin- 
Mitte, Urteil vom 18. 12. 2003 - 16 C 427/02, NJW-RR 2004, 531-534). 


Die Videoüberwachung des öffentlichen Straßenraums, öffentlicher Grünflächen oder von 
Nachbargrundstücken ist unzulässig. 


6. Verhältnismäßigkeit 

Für den datenschutzkonformen Einsatz von Videoüberwachungstechnik unabdingbar ist eine 
konkrete Interessenabwägung mit den schutzwürdigen Belangen der Betroffenen. Bestehen 
Anhaltspunkte, dass die schutzwürdigen Belange der durch die Videoüberwachung betroffe- 
nen Personen gegenüber den von der verantwortlichen Stelle verfolgten Zwecken überwiegen, 
hat die Videoüberwachung zu unterbleiben. 

Im Rahmen der Interessenabwägung ist zu berücksichtigen, dass die Aufzeichnung der Bild- 
daten gegenüber der speicherlosen Übertragung einen wesentlich tieferen Eingriff in die 
Rechte der Betroffenen darstellt, da die Daten mit der Speicherung für eine dauerhafte Aus- 
wertung und Verknüpfung zur Verfügung stehen. 


' Common Criteria Protection Profile - Software zur Verarbeitung von personenbezogenen Bilddaten, Stand: 
Januar 2007, BSI-PP-0023 
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Es muss zudem zwischen analogen und digitalen Überwachungsanlagen unterschieden wer- 
den. Während die Auswertbarkeit von analogen Überwachungen sehr beschränkt ist und in 
der Regel sich nur auf die Speicherung von Video Sequenzen beschränkt, kann bei digitalen 
Anlagen eine vollautomatisierte Auswertung vorgenommen werden, die auch biometrische 
und andere Techniken (Datenabgleiche) umfassen kann. Heute werden in der Regel digitale 
Anlagen eingesetzt. 

Die Prüfung der Verhältnismäßigkeit hat für jeden Schritt der Verarbeitung und Nutzung der 
Daten separat zu erfolgen. Sollen personenbezogene Daten daher nicht nur erhoben und ge- 
speichert, sondern darüber hinaus noch weiter verarbeitet werden, ist eine gesonderte Bewer- 
tung der Zulässigkeit geboten (Beschlussempfehlung und Bericht des Innenausschusses, BT- 
Drs. 14/5793, S. 62), vgl. auch § 6b Abs. 3 BDSG. 


Je stärker in die schutzwürdigen Belange der Betroffenen eingegriffen wird, desto höher sind 
die Anforderungen an die Rechtfertigung der Videoüberwachung. Je leistungsfähiger die ein- 
gesetzte Technik ist und Je größer die Möglichkeiten der automatisierten Auswertung, desto 
stärker sind die schutzwürdigen Belange der Betroffenen in der Abwägung zu berücksichti- 
gen. 


In folgenden Fällen sind schutzwürdige Belange der Betroffenen besonders stark betroffen: 

• Permanente und lückenlose Überwachung, der sich die Betroffenen nicht entziehen 
können 

• Möglichkeit der automatisierten Auswertung der Bilddateien (z.B. zum Bildabgleich; 
zum Zweck biometrischer Gesichtserkennung; Vergrößern und Selektion einzelner 
Personen; Bildung von Bewegungsprofilen) 

• Erfassung einer Vielzahl von Personen, die ohne konkreten Anlass überwacht werden 

• Erfassung von Bereichen, die der ungezwungenen und freien Entfaltung der Persön- 
lichkeit dienen (Kantinen, Raucherecken, Wartebereiche). 


Die Erfassung von Nachbargrundstücken und -Wohnungen durch Videokameras ist daten- 
schutzrechtlich unzulässig. Sie kann zudem strafrechtliche Relevanz haben (§ 201a Strafge- 
setzbuch). Nach Ansicht des LG Bonn (Urteil v. 16.11.2004, Az. 8 S 139/04) verletzt dabei 
auch das Aufstellen von täuschend echt aussehenden Attrappen das allgemeine Persönlich- 
keitsrecht der Nachbarn, da für sie nicht erkennbar ist, ob sie tatsächlich gefilmt werden oder 
nicht. 

Unzulässig ist zudem die Erfassung höchstpersönlicher Bereiche (z.B. Waschräume). 
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Werden auch Beschäftigte von der Überwachung erfasst, so ist bei der Verhältnismäßigkeits- 
prüfting deren allgemeines Persönlichkeitsrecht (Artikel 2 Absatz 1 i.V.m. Artikel 1 Absatz 1 
GG) von besonderer Bedeutung. Die im zweiten Abschnitt dargestellten Abwägungskriterien 
sind daher bei der Überwachung in öffentlich zugänglichen Bereichen gleichermaßen zu be- 
achten (vgl. dazu unten Seite lOf ). 


7. Hinweispflicht. § 6b Abs. 2 BDSG 

Der Umstand der Beobachtung und die verantwortliche Stelle sind durch geeignete Maßnah- 
men erkennbar zu machen (§ 6b Abs. 2 BDSG). Die Betroffenen sollen durch die Hinweis- 
pflicht eine Vorstellung davon bekommen, welcher Bereich erfasst wird und an wen sie sich 
zur Ausübung ihrer Betroffenenrechte wenden können. Erst hierdurch werden sie in die Lage 
versetzt, der Videoüberwachung auszuweichen oder sich zumindest auf diese einzustellen. 
Zur Erfüllung der Hinweispflicht kommen Hinweisschilder oder Piktogramme in Betracht. 
Diese müssen deutlich sichtbar platziert sein, so dass die Betroffenen eine zumutbare Mög- 
lichkeit der Kenntnisnahme haben. 


Zur Erfüllung der Hinweispflicht sollte das Info-Zeichen nach DIN 33450 in Verbindung mit 
dem Hinweis auf die verantwortliche Stelle („Dieser Bereich wird von/vom 
...videoüberwacht“) genutzt werden: 



Die Hinweispflicht gilt ausnahmslos. Heimliche Videoüberwachungen sind im Bereich des 
§ 6b BDSG ausgeschlossen. Eine andere Auffassung vertritt das Bundesarbeitsgericht zur 
heimlichen Überwachung von Mitarbeitern in öffentlich zugänglichen Räumen in seinem Ur- 
teil vom 21. Juni 2012 (2 AZR, 153/11, NZA 2012, 1025 ff). Dieses Urteil knüpft an die 
„Wahrnehmung berechtigter Interessen“ nach § 6b Absatz 1 Nummer 3 BDSG an. So soll 
eine verdeckte Videoüberwachung auch in öffentlich zugänglichen Räumen nach § 6b Absatz 
1 Nummer 3 BDSG zulässig sein, falls sie das einzige Mittel zur Überführung von Beschäf- 
tigten ist, die der Begehung von Straftaten konkret verdächtig sind. § 6b Absatz 1 Nummer 3 
BDSG ist für öffentliche Stellen aber nicht anwendbar (vgl. oben Seite 3). Bezogen auf die 
Zwecke „Aufgabenerfüllung öffentlicher Stellen“ sowie „Wahrnehmung des Hausrechts“ 
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wird es bereits an der Erforderlichkeit der heimlichen Mitarbeiterüberwachung fehlen, so dass 
diese unzulässig ist. 


8. Benachrichtigung der Betroffenen. § 6b Absatz 4 BDSG 

Auch wenn eine Identifizierung der erfassten Personen fiir die Anwendung des § 6b BDSG 
nicht entscheidend ist (dazu bereits oben unter 3.), muss die verantwortliche Stelle die Betrof- 
fenen nach Maßgabe des § 19a BDSG benachrichtigen (§ 6b Abs. 4 BDSG), wenn sie diesen 
die durch Videoüberwachung erhobenen Daten zuordnet. Die Benachrichtigungspflicht greift 
allerdings nur, wenn die Daten einer bestimmten, identifizierten Person tatsächlich zugeordnet 
werden. Das ist typischerweise erst der Fall, wenn einzelne Videosequenzen zum Nachweis 
bspw. eines strafbaren Verhaltens selektiert und ausgewertet werden. Andererseits löst allein 
das Durchschreiten eines videoüberwachten Bereichs durch eine bekannte Person (z.B. einen 
Mitarbeiter der Dienststelle) nicht die Benachrichtigungspflicht aus. Durch die Benachrichti- 
gungspflicht soll gewährleistet werden, dass die Person von der Überwachung und der an- 
schließenden Speicherung/Auswertung Kenntnis erhält und selbst für die Wahrung ihrer 
Recht eintreten kann. 


9. Löschung der Daten 

Die durch Videoüberwachung aufgezeichneten personenbezogenen Daten sind unverzüglich 
zu löschen, wenn sie zur Erreichung des verfolgten Zwecks nicht mehr erforderlich sind 
oder schutzwürdige Interessen der Betroffenen einer weiteren Speicherung entgegen 
stehen (§ 6b Abs. 5 BDSG). Nicht mehr erforderlich und daher zu löschen sind alle Auf- 
zeichnungen, die nicht mehr für die Gefahrenabwehr (präventive Zwecke) oder zur Rechts- 
verfolgung (repressive Zwecke) benötigt werden. Die zweite Alternative (schutzwürdige Inte- 
ressen der Betroffenen stehen einer weiteren Speicherung entgegen) wird relevant, wenn die 
verantwortliche Stelle festgestellten Vorkommnissen nicht in angemessener Zeit nachgeht. 

Um der Löschungspflicht nachzukommen, hat die verantwortliche Stelle zunächst festzustel- 
len, ob das angefallene Videomaterial überhaupt aufklärungsbedürftige Vorkommnisse ent- 
hält. Diese Bedarfsklärung hat unverzüglich zu erfolgen (BT-Drs. 14/5793, S. 63). 

Der Begriff „unverzüglich“ ist als Handeln ohne schuldhaftes Zögern (§ 121 Bürgerliches 
Gesetzbuch) zu verstehen. Die Bedarfsklärung und die sich unmittelbar daran anschließende 
Entscheidung, ob die weitere Sicherung der Aufzeichnungen notwendig ist, kann regelmäßig 
innerhalb von ein bis zwei Arbeitstagen erfolgen (Beschlussempfehlung und Bericht des In- 
nenausschusses, BT-Drs. 14/5793, S. 63). Nicht erforderliche Daten sind daher im Regelfall 
spätestens nach Ablauf einer Woche zu löschen. Empfehlenswert ist hierbei, die Regellösch- 
fristen durch ein automatisches Überschreiben der zurückliegenden Aufnahmen zu gewähr- 
leisten. 
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10. Verfahrensverzeichnis und Vorabkontrolle 

Stellt die Videoüberwachung ein Verfahren automatisierter Datenverarbeitung dar, ist sie in 
das Verfahrensverzeichnis der verantwortlichen Stelle aufzunehmen (§ 4g Abs. 2 i. V. m. 
§§ 4e Abs. 1, 18 Abs. 2 BDSG). 

Entscheidend fiir das Vorliegen einer automatisierten Verarbeitung ist die erleichterte Zu- 
gänglichkeit und Auswertbarkeit der Daten in einem Datenbestand. Ein Verfahren automa- 
tisierter Verarbeitung ermöglicht es also, verschiedene personenbezogene Daten programm- 
gesteuert nach ihrem Informationsgehalt zu selektieren, wie dies z.B. bei der Unterscheidung 
nach dem Zeitpunkt der Aufnahme oder nach bestimmten Identifikations- und Sachmerkma- 
len wie biometrischen Daten der Fall ist. 

Erfolgt bereits die Erfassung der Bilder programmgesteuert und selektiv oder ist dies tech- 
nisch möglich - z.B. Videosystem mit integrierter Gesichts- und Stimmerkennung, selektive 
Erfassung anhand von Name, Zeit oder Ort des Aufenthalts - ist die Kameratechnik wegen 
der bestehenden Auswertungsmöglichkeiten der erfassten Bilder schon bereits bei reinen 
Übertragungen verzeichnispflichtig. Hier handelt es sich häufig um digitale, „intelligente“ 
Kameras bzw. Jhinking cameras“. Gleiches gilt wenn die Aufzeichnung programmgesteuert 
nach bestimmten Merkmalen auswertbar ist. Ist dies nicht möglich, stellt die Aufzeichnung 
der Bilddaten kein automatisiertes Verfahren dar. 

Die Übertragung von Bildaufzeichnungen auf einen Monitor (Kamera-Monitor-Prinzip) ist 
nicht verzeichnispflichtig, wenn das übertragene Monitorbild lediglich als „verlängertes Au- 
ge“ die Wirklichkeit abbildet, ohne dass eine inhaltsbezogene Datenverarbeitung automati- 
siert stattfmdet. Dies betrifft insb. die Verwendung analoger Videotechnik. 

Die als automatisierte Verarbeitung erfolgende Videoüberwachung unterliegt zudem regel- 
mäßig der Vorabkontrolle durch den behördlichen Datenschutzbeauftragten (vgl. § 4d Abs. 5 
BDSG), weil der Einsatz der Videotechnik besondere Risiken für die Rechte und Freiheiten 
der betroffenen Personen aufweist. Anhaltspunkte für das Vorliegen besonderer Risiken sind 
u.a.: 

• Anlasslose Überwachung einer Vielzahl von Betroffenen 

• Großflächigkeit und Intensität der Überwachung, 

• eingesetzte Technik (hohe Auflösung, Schwenkbarkeit) und damit verbundene Aus- 
wertbarkeit, insb. zu Bewegungsprofilen. 

Ausnahmen von der Vorabkontrolle sind im Einzelfall denkbar, wenn die Videoüberwachung 
lediglich punktuell, ohne hohe Auflösung und ohne Möglichkeit des Herausfilterns einzelner 
Personen eingesetzt wird. 
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II. Videoüberwachung von Beschäftigten in nicht öffentlich zugänglichen Räumen 

1. Rechtsgrundlage 

Seit Inkrafttreten des § 32 BDSG zum 1. September 2009 richtet sich die datenschutzrechtli- 
che Rechtmäßigkeit der Videoüberwachung von Beschäftigten in nicht öffentlich zugängli- 
chen Räumen nach § 32 Absatz 1 Satz 1 und 2 i.V.m. § 12 Absatz 4 BDSG. § 32 BDSG soll 
jedoch, so der Gesetzgeber, die bis dahin von der Rechtsprechung erarbeiteten Grundsätze des 
Datenschutzes im Beschäftigungsverhältnis nicht ändern, sondern lediglich zusammenfassen 
(BT-Drs. 16/13657, S. 20). 

Für die Beurteilung der Rechtmäßigkeit der Videoüberwachung ist wesentlich, ob es sich um 
eine offene oder um eine verdeckte Maßnahme handelt. 


2. Offene Videoüberwachung 

§ 32 Absatz 1 Satz 1, 2. Variante BDSG sieht vor, dass personenbezogene Daten eines Be- 
schäftigten für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt 
werden dürfen, wenn dies nach der Begründung des Beschäftigungsverhältnisses für dessen 
Durchführung oder Beendigung erforderlich ist. Nach dem Willen des Gesetzgebers soll diese 
Regelung den von der Rechtsprechung entwickelten Grundsätzen des Datenschutzrechts im 
Beschäftigungsverhältnis entsprechen (BT-Drs. 16/13657, S. 21); diese Grundsätze finden 
folglich weiterhin Anwendung. 

Daher ist es nicht allein ausreichend, dass die Maßnahme - wie der Wortlaut des § 32 Absatz 
1 Satz 1 BDSG vermuten ließe - nützlich ist. Vielmehr muss die Videoüberwachung einer 
umfassenden Verhältnismäßigkeitsprüfhng standhalten. Ausgangspunkt der Verhältnismäßig- 
keitsprüfhng ist der mit der Maßnahme verfolgte Zweck. 

Eine rein präventive Videoüberwachung ohne konkreten Anlass stellt einen besonders 
schwerwiegenden Eingriff in die Persönlichkeitsrechte der Beschäftigten dar und muss daher 
im Regelfall unterbleiben. Auch zur dauerhaften Überprüfung, ob die Beschäftigten ihren 
Arbeitspflichten nachkommen, darf Videoüberwachung nicht eingesetzt werden. 

Eine präventive Videoüberwachung kann jedoch zur Durchsetzung besonderer Sicherheitsbe- 
dürfnisse zulässig sein. In Betracht kommen sowohl Sicherheitsinteressen der verantwortli- 
chen Stelle als auch des Beschäftigten selbst. Es müssen jedoch bereits konkrete Verdachts- 
momente oder Anhaltspunkte vorliegen, die das schutzwürdige Interesse der verantwortlichen 
Stelle belegen. 

Wegen der besonderen Intensität des Eingriffs in die Persönlichkeitsrechte des Betroffenen ist 
die Rechtfertigungsschwelle für die Videoüberwachung allerdings hoch. Denn bei der Video- 
überwachung am nicht öffentlich zugänglichen Arbeitsplatz ist der Personenkreis überschau- 
bar und dem Dienstherrn bekannt. Der Überwachungs- und Anpassungsdruck ist für die beo- 
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bachteten Personen sehr hoch, weil die Überwachung regelmäßig über mehrere Stunden an- 
dauert und sich die Beschäftigten der Überwachung nicht entziehen können (BAG, Beschluss 
vom 29. Juni 2004, 1 ABR 21/03, NZA 2004, 1278, 1282). Der Überwachungsdruck, den 
bereits die Möglichkeit der jederzeitigen Überwachung auf den Beschäftigten erzeugt, kann 
nur durch überwiegende schutzwürdige Belange der verantwortlichen Stelle gerechtfertigt 
sein, wobei hier eine Abwägung im Einzelfall zu erfolgen hat (BAG, Beschluss vom 14. De- 
zember 2004, 1 ABR 34/03, NJOZ 2005, 2708, Ls. 2 und 3). 

Bei der Abwägung ist die Eingriffsintensität von Bedeutung, also die Frage, wie viele Perso- 
nen wie intensiven Beeinträchtigungen ausgesetzt sind, ohne dass sie hierfür einen Anlass 
gegeben hätten. Die Intensität der Beeinträchtigung hängt dabei maßgeblich von der Dauer 
und Art der Überwachungsmaßnahme ab (BAG aaO S. 2711 f). Die Eingriffstiefe verringert 
sich nicht allein dadurch, dass die Kameras nur zeitweise in Betrieb sind, wenn die Beschäf- 
tigten nicht erkennen können, ob und wann eine Videoüberwachung tatsächlich erfolgt. Die 
Beschäftigten unterliegen in diesem Fall während der gesamten Dauer ihrer Tätigkeit einem 
erheblichen Überwachungsdruck (BAG, Beschluss vom 14. Dezember 2004, 1 ABR 34/03, 
NJOZ 2005, 2708,2712). 

Ein schutzwürdiges Interesse der verantwortlichen Stelle kann bei der Aufklärung von Strafta- 
ten eines Beschäftigten in Betracht kommen. Die Zulässigkeit beurteilt sich nach § 32 Absatz 
1 Satz 2 BDSG. § 32 Absatz 1 Satz 2 BDSG setzt voraus, dass zu dokumentierende tatsächli- 
che Anhaltspunkte den Verdacht begründen, dass der Betroffene im Beschäftigungsverhältnis 
eine Straftat begangen hat, die Erhebung, Verarbeitung oder Nutzung der personenbezogenen 
Daten zur Aufklärung erforderlich ist und das schutzwürdige Interesse des Beschäftigten nicht 
überwiegt, insbesondere Art und Ausmaß der Erhebung, Verarbeitung oder Nutzung im Hin- 
blick auf den Anlass nicht unverhältnismäßig sind. In diesem Fall ist also eine strenge einzel- 
fallbezogene Verhältnismäßigkeitsprüfung notwendig. 


3. Verdeckte Videoüberwachung 

Eine verdeckte Videoüberwachung kommt allenfalls als ultima ratio in Betracht. Das Bun- 
desarbeitsgericht hat vor Inkrafttreten des § 32 BDSG die Auffassung vertreten, dass die ver- 
deckte Videoüberwachung dann zulässig ist, wenn der konkrete Verdacht einer strafbaren 
Handlung oder einer anderen schweren Verfehlung zu Lasten des Arbeitgebers besteht, weni- 
ger einschneidende Mittel zur Aufklärung des Verdachts ausgeschöpft sind, die verdeckte 
Videoüberwachung praktisch das einzig verbleibende Mittel darstellt und insgesamt nicht 
unverhältnismäßig ist (BAG, Urteil vom 27. März 2003, 2 AZR 51/02, NZA 2003, 1 193). Der 
Arbeitgeber hat zu dokumentieren, dass diese Voraussetzungen gegeben sind und er muss die 
Betroffenen im Nachhinein frühest möglich von der Tatsache und den Ergebnissen der Über- 
wachung informieren. Im Hinblick auf die enorme Eingriffstiefe einer heimlichen Überwa- 
chung wird empfohlen, auf derartige Maßnahmen unbeschadet der älteren Rechtsprechung 
und in Anbetracht der durch den Gesetzgeber mit der Schaffung des § 32 BDSG unterstriche- 
nen Bedeutung des Beschäftigtendatenschutzes zu verzichten. 
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4. Löschung der Daten 

Die Löschung der Daten richtet sich, sofern Beschäftigtendaten nach § 32 BDSG betroffen 
sind, nach § 35 Absatz 2 BDSG. Die im Rahmen einer Videoüberwachung für eigene Zwecke 
gespeicherten personenbezogenen Daten sind nach § 35 Absatz 2 Satz 2 Nummer 3 BDSG zu 
löschen, sobald ihre Kenntnis für die Erfüllung des Zwecks der Speicherung nicht mehr erfor- 
derlich ist. Die Löschung ist zu dokumentieren. 


5. Mitbestimmung des Personalrats 

Nach § 75 Absatz 3 Nummer 17 BetrVG unterliegt die Einführung technischer Einrichtungen, 
die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen, 
der Mitbestimmung des Personalrats. Jedoch rechtfertigt eine Dienst- oder Betriebsvereinba- 
rung eine nach den gesetzlichen Bestimmungen rechtswidrige Videoüberwachung nicht. So 
hat das Bundesarbeitsgericht eine Betriebsvereinbarung, die die Grundrechte der Arbeitneh- 
mer nicht ausreichend achtete, für unwirksam erklärt. Durch die Mitbestimmung des Betriebs- 
rats nach § 87 Absatz 1 Nummer 6 BetrVG solle gerade der Gefahr begegnet werden, dass der 
Arbeitnehmer zum Objekt einer Überwachungstechnik werde und sein Wissen darum zu er- 
höhter Abhängigkeit und zur Behinderung der freien Entfaltung seiner Persönlichkeit führe 
(BAG, Beschluss vom 29. Juni 2004, 1 ABR 21/03, NZA 2004, 1278, 1281). Nach 
§ 75 Absatz 2 BetrVG hätten Arbeitgeber und Betriebsrat die freie Entfaltung der Persönlich- 
keit der im Betrieb beschäftigten Arbeitnehmer zu schützen und zu fördern. Zwar fehlt eine 
dem § 75 Absatz 2 BetrVG entsprechende Regelung im Bundespersonalvertretungsgesetz, der 
Schutz der freien Entfaltung der Persönlichkeit folgt jedoch bereits aus Art. 2 Absatz 1 GG, 
an den die öffentliche Verwaltung und damit die Dienststellenleitung und die Personalvertre- 
tung gebunden sind. Die dargestellte Rechtsprechung ist daher auf die öffentliche Verwaltung 
übertragbar. 


6. Verfahrensverzeichnis und Vorabkontrolle 
Hierzu wird auf Abschnitt I Nummer 9 verwiesen. 
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III. Videoüberwachung von Gebäuden durch die Bundespolizei: § 27 BPolG 

Gemäß § 5 Bundespolizeigesetz (BPolG) kann die Bundespolizei Verfassungsorgane des 
Bundes und Bundesministerien auf deren Ersuchen gegen Gefahren schützen, die die Durch- 
führung ihrer Aufgaben beeinträchtigen. Um derartige Gefahren zu erkennen, darf die Bun- 
despolizei auch Videoüberwachung einsetzen. Die Rechtsgrundlage ist dann § 27 Satz 1 Nr. 2 
i. V. m. § 23 Abs. 1 Nr. 4 BPolG. Danach kann die Bundespolizei Videoüberwachung auch 
zur Eigensicherung ihrer Liegenschaften und zur Überwachung inlfastrukturell besonders 
gefährdeter Objekte - etwa Bahnhöfen und Flughäfen - ein s etzen. 

Soweit gern. § 27 BPolG Liegenschaften der Bundespolizei, der Verfassungsorgane oder der 
Bundesministerien videoüberwacht werden, ist der Umfang der Videoüberwachung für jedes 
Objekt gesondert zu bestimmen. Hierbei sind insbesondere die Gefährdung des Objekts und 
die Möglichkeit des ungehinderten Zugangs von Personen zu dem Objekt maßgeblich. Dabei 
sollten grundsätzlich auch die im ersten Teil dieser Orientierungshilfe aufgefährten Gesichts- 
punkte nach Maßgabe folgender Erwägungen Beachtung finden: 


1. Erkennbarkeit 

Gemäß § 27 Satz 2 BPolG müssen die eingesetzten Geräte erkennbar sein. Daraus folgt eine 
Hinweispflicht, für die die Ausführungen in Abschnitt I Nummer 7 entsprechend gelten (vgl. 
oben Seite 7). 

2. Speicherdauer 

Nach § 27 BPolG Satz 3 müssen personenbezogene Daten, die durch die Videokameras erho- 
ben worden sind, spätestens nach 30 Tagen vernichtet werden, soweit sie nicht zur Abwehr 
einer gegenwärtigen Gefahr oder zur Verfolgung einer Straftat oder einer Ordnungswidrigkeit 
benötigt werden. Den ihr zugebilligten Spielraum bei der Speicherdauer muss die Bundespo- 
lizei nach der Maßgabe der Erforderlichkeit und Verhältnismäßigkeit ausfüllen. Insofern ist 
ein Konzept erforderlich, das aufgrund von kriminalistischen Erfahrungswerten und der Ge- 
fahrenlage eine grundrechtsschonende Aufzeichnungspraxis sicherstellt. Eine pauschale Spei- 
cherung für die gesetzliche Höchstdauer würde diesen Vorgaben nicht genügen. 
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Anlage 8 


Beschluss der obersten Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich 
(Düsseldorfer Kreis am 17. Januar 2012) 


Einwilligungs- und Schweigepflichtentbindungserklärung in der Ver- 
sicherungswirtschaft 

Der Düsseldorfer Kreis hat sich dafür eingesetzt, die Einwilligungs- und Schweige- 
pflichtentbindungserklärungen in der Versicherungswirtschaft transparenter zu gestal- 
ten. Gemeinsam mit dem Gesamtverband der deutschen Versicherungswirtschaft e. V. 
haben die Datenschutzaufsichtsbehörden eine Mustererklärung erarbeitet. Die Versi- 
cherungsunternehmen sind aufgefordert, die bisherigen Einwilligungstexte zeitnah 
durch neue zu ersetzen, die der Mustererklärung entsprechen. Der Text lautet wie folgt: 


Einwilligung in die Erhebung und Verwendung von Gesundheitsdaten und 
Schweigepflichtentbindungserklärung^ 

Die Regelungen des Versicherungsvertragsgesetzes, des Bundesdatenschutzgesetzes 
sowie anderer Datenschutzvorschriften enthalten keine ausreichenden Rechtsgrundla- 
gen für die Erhebung, Verarbeitung und Nutzung von Gesundheitsdaten durch Versi- 
cherungen. Um Ihre Gesundheitsdaten für diesen Antrag und den Vertrag erheben und 
verwenden zu dürfen, benötigt die Versicherung XY^ daher Ihre datenschutzrechtli- 
che(n) Einwilligung(en). Darüber hinaus benötigt die Versicherung XY Ihre Schweige- 
pflichtentbindungen, um Ihre Gesundheitsdaten bei schweigepflichtigen Stellen, wie z.B. 
Ärzten, erheben zu dürfen. Als Unternehmen der Lebensversicherung {Krankenversi- 
cherung)^ benötigt die Versicherung XY Ihre Schweigepflichtentbindung ferner, um Ihre 
Gesundheitsdaten oder weitere nach § 203 Strafgesetzbuch geschützte Daten, wie 
z. B. die Tatsache, dass ein Vertrag mit Ihnen besteht, an andere Stellen, z. B. ...^ wei- 
terleiten zu dürfen. 

Die folgenden Einwilligungs- und Schweigepflichtentbindungserklärungen'* sind für die 
Antragsprüfung sowie die Begründung, Durchführung oder Beendigung Ihres Versiche- 
rungsvertrages in der Versicherung XY unentbehrlich. Sollten Sie diese nicht abgeben, 
wird der Abschluss des Vertrages in der Regel nicht möglich sein.® 

Die Erklärungen betreffen den Umgang mit Ihren Gesundheitsdaten und sonstiger nach 
§ 203 StGB geschützter Daten 


Der Text der Einwilligungs-ZSchweigepflichtentbindungserklärung wurde 201 1 mit den Datenschutz- 
aufsichtsbehörden inhaitiich abgestimmt. 
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- durch die Versicherung XY [Versicherungsgesellschaft, mit der der Versiche- 
rungsvertrag abgeschlossen wird] selbst (unter 1 .), 

- im Zusammenhang mit der Abfrage bei Dritten (unter 2.), 

- bei der Weitergabe an Stellen außerhalb der Versicherung XY (unter 3.) und 

- wenn der Vertrag nicht zustande kommt (unter 4.). 

Die Erklärungen gelten für die von Ihnen gesetzlich vertretenen Personen wie Ihre Kin- 
der, soweit diese die Tragweite dieser Einwilligung nicht erkennen und daher keine ei- 
genen Erklärungen abgeben können.® 

1. Erhebung, Speicherung und Nutzung der von Ihnen mitgeteilten Gesund- 
heitsdaten durch die Versicherung XY 


Ich willige ein, dass die Versicherung XY die von mir in diesem Antrag und künftig mit- 
geteilten Gesundheitsdaten erhebt, speichert und nutzt, soweit dies zur Antragsprü- 
fung sowie zur Begründung, Durchführung oder Beendigung dieses Versicherungsver- 
trages erforderlich ist. 


2. Abfrage von Gesundheitsdaten bei Dritten 

2.1. Abfrage von Gesundheitsdaten bei Dritten zur Risikobeurteilunq und zur 
Prüfung der Leistunqspflicht^ 

Für die Beurteilung der zu versichernden Risiken kann es notwendig sein, Informatio- 
nen von Stellen abzufragen, die über Ihre Gesundheitsdaten verfügen. Außerdem kann 
es zur Prüfung der Leistungspflicht erforderlich sein, dass die Versicherung XY die An- 
gaben über Ihre gesundheitlichen Verhältnisse prüfen muss, die Sie zur Begründung 
von Ansprüchen gemacht haben oder die sich aus eingereichten Unterlagen (z. B. 
Rechnungen, Verordnungen, Gutachten) oder Mitteilungen z. B. eines Arztes oder 
sonstigen Angehörigen eines Heilberufs ergeben. 

Diese Überprüfung erfolgt nur, soweit es erforderlich ist. Die Versicherung XY benötigt 
hierfür Ihre Einwilligung einschließlich einer Schweigepflichtentbindung für sich sowie 
für diese Stellen, falls im Rahmen dieser Abfragen Gesundheitsdaten oder weitere nach 
§ 203 Strafgesetzbuch geschützte Informationen weitergegeben werden müssen. 

Sie können diese Erklärungen bereits hier (I) oder später im Einzelfall (II) erteilen. Sie 
können Ihre Entscheidung jederzeit ändern. Bitte entscheiden Sie sich für eine der bei- 
den nachfolgenden Möglichkeiten: 
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Möglichkeit I: 

□ Ich willige ein, dass die Versicherung XY - soweit es für die Risikobeurteilung 
oder für die Leistungsfallprüfung erforderlich ist - meine Gesundheitsdaten bei 
Ärzten, Pflegepersonen sowie bei Bediensteten von Krankenhäusern, sonstigen 
Krankenanstalten, Pflegeheimen, Personenversicherern, gesetzlichen Kranken- 
kassen, Berufsgenossenschaften und Behörden® erhebt und für diese Zwecke 
verwendet. 

Ich befreie die genannten Personen und Mitarbeiter der genannten Einrichtun- 
gen von ihrer Schweigepflicht, soweit meine zulässigerweise gespeicherten Ge- 
sundheitsdaten aus Untersuchungen, Beratungen, Behandlungen sowie Versi- 
cherungsanträgen und -Verträgen aus einem Zeitraum von bis zu zehn Jahren® 
vor Antragstellung an die Versicherung XY übermittelt werden. 

Ich bin darüber hinaus damit einverstanden, dass in diesem Zusammenhang - 
soweit erforderlich - meine Gesundheitsdaten durch die Versicherung XY an 
diese Stellen weitergegeben werden und befreie auch insoweit die für die Versi- 
cherung XY tätigen Personen von ihrer Schweigepflicht. 

Ich werde vor jeder Datenerhebung nach den vorstehenden Absätzen unterrich- 
tet, von wem und zu welchem Zweck die Daten erhoben werden sollen, und ich 
werde darauf hingewiesen, dass ich widersprechen und die erforderlichen Un- 
terlagen selbst beibringen kann.^° 

Möglichkeit II: 

□ Ich wünsche, dass mich die Versicherung XY in jedem Einzelfall informiert, von 
welchen Personen oder Einrichtungen zu welchem Zweck eine Auskunft benö- 
tigt wird. Ich werde dann jeweils entscheiden, ob ich 

• in die Erhebung und Verwendung meiner Gesundheitsdaten durch die 
Versicherung XY einwillige, die genannten Personen oder Einrichtun- 
gen sowie deren Mitarbeiter von ihrer Schweigepflicht entbinde und in 
die Übermittlung meiner Gesundheitsdaten an die Versicherung XY 
einwillige 

• oder die erforderlichen Unterlagen selbst beibringe. 

Mir ist bekannt, dass dies zu einer Verzögerung der Antragbearbeitung oder 

der Prüfung der Leistungspflicht führen kann. 

Soweit sich die vorstehenden Erklärungen auf meine Angaben bei Antragstellung be- 
ziehen, gelten sie für einen Zeitraum von fünf Jahren^^ nach Vertragsschluss. Ergeben 
sich nach Vertragsschluss für die Versicherung XY konkrete Anhaltspunkte^® dafür, 
dass bei der Antragstellung vorsätzlich unrichtige oder unvollständige Angaben ge- 
macht wurden und damit die Risikobeurteilung beeinflusst wurde, gelten die Erklärun- 
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gen bis zu zehn Jahre nach Vertragsschluss. 


2.2. Erklärungen für den Fall Ihres Todes 

Zur Prüfung der Leistungspflicht kann es auch nach Ihrem Tod erforderlich sein, ge- 
sundheitliche Angaben zu prüfen. Eine Prüfung kann auch erforderlich sein, wenn sich 
bis zu zehn Jahre nach Vertragsschluss für die Versicherung XY konkrete Anhaltspunk- 
te dafür ergeben, dass bei der Antragstellung unrichtige oder unvollständige Angaben 
gemacht wurden und damit die Risikobeurteilung beeinflusst wurde. Auch dafür bedür- 
fen wir einer Einwilligung und Schweigepflichtentbindung. Bitte entscheiden Sie sich für 
eine der beiden nachfolgenden Möglichkeiten:^^ 


Möglichkeit I: 

□ Für den Fall meines Todes willige ich in die Erhebung meiner Gesundheitsdaten 
bei Dritten zur Leistungsprüfung bzw. einer erforderlichen erneuten Antragsprü- 
fung ein wie im ersten Ankreuzfeld beschrieben (siehe oben 2.1. - Möglichkeit 
!)■ 

Möglichkeit II: 

□ Soweit zur Prüfung der Leistungspflicht bzw. einer erforderlichen erneuten An- 
tragsprüfung nach meinem Tod Gesundheitsdaten erhoben werden müssen, 
geht die Entscheidungsbefugnis über Einwilligungen und Schweigepflichtent- 
bindungserklärungen auf meine Erben oder - wenn diese abweichend bestimmt 
sind - auf die Begünstigten des Vertrags über. 


3. Weitergabe Ihrer Gesundheitsdaten und weiterer nach § 203 StGB geschütz- 
ter Daten an Stellen außerhalb der Versicherung XY 

Die Versicherung XY verpflichtet die nachfolgenden Stellen vertraglich auf die Einhal- 
tung der Vorschriften über den Datenschutz und die Datensicherheit. 

3.1 . Datenweitergabe zur medizinischen Begutachtung 

Für die Beurteilung der zu versichernden Risiken und zur Prüfung der Leistungspflicht 
kann es notwendig sein, medizinische Gutachter einzuschalten. Die Versicherung XY 
benötigt Ihre Einwilligung und Schweigepflichtentbindung, wenn in diesem Zusammen- 
hang Ihre Gesundheitsdaten und weitere nach § 203 StGB geschützte Daten übermittelt 
werden. Sie werden über die jeweilige Datenübermittlung unterrichtet.^® 


Ich willige ein, dass die Versicherung XY meine Gesundheitsdaten an medizinische 
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Gutachter übermittelt, soweit dies im Rahmen der Risikoprüfung oder der Prüfung der 
Leistungspflicht erforderlich ist und meine Gesundheitsdaten dort zweckentsprechend 
verwendet und die Ergebnisse an die Versicherung XY zurück übermittelt werden. Im 
Hinblick auf meine Gesundheitsdaten und weitere nach § 203 StGB geschützte Daten 
entbinde ich die für die Versicherung XY tätigen Personen und die Gutachter von ihrer 
Schweigepflicht. 


3.2. Übertragung von Aufgaben auf andere Stellen (Unternehmen oder Personen) 

Die Versicherung XY führt bestimmte Aufgaben, wie zum Beispiel die Risikoprüfung, die 
Leistungsfallbearbeitung oder die telefonische Kundenbetreuung, bei denen es zu einer 
Erhebung, Verarbeitung oder Nutzung Ihrer Gesundheitsdaten kommen kann, nicht 
selbst durch, sondern überträgt die Erledigung einer anderen Gesellschaft der XY- 
Gruppe oder einer anderen Stelle. Werden hierbei Ihre nach § 203 StGB geschützten 
Daten weitergegeben, benötigt die Versicherung XY Ihre Schweigepflichtentbindung für 
sich und^® soweit erforderlich für die anderen Stellen. 

Die Versicherung XY führt eine fortlaufend aktualisierte Liste^® über die Stellen^® und 
Kategorien von Stellen®®, die vereinbarungsgemäß Gesundheitsdaten für die Versiche- 
rung XY erheben, verarbeiten oder nutzen unter Angabe der übertragenen Aufgaben. 
Die zurzeit gültige Liste ist als Anlage der Einwilligungserklärung angefügt.®^ Eine aktu- 
elle Liste kann auch im Internet unter (Internetadresse) eingesehen oder bei {An- 
sprechpartner nebst Anschrift, Telefonnummer, ggf E-Mailadresse) angefordert wer- 
den. Für die Weitergabe Ihrer Gesundheitsdaten an und die Verwendung durch die in 
der Liste genannten Stellen benötigt die Versicherung XY Ihre Einwilligung. 


Ich willige ein,®® dass die Versicherung XY meine Gesundheitsdaten an die in der oben 
erwähnten Liste genannten Stellen übermittelt und dass die Gesundheitsdaten dort für 
die angeführten Zwecke im gleichen Umfang erhoben, verarbeitet und genutzt werden, 
wie die Versicherung XY dies tun dürfte. Soweit erforderlich, entbinde ich die Mitarbei- 
ter der XY Unternehmensgruppe und sonstiger Stellen®® Im Hinblick auf die Weiterga- 
be von Gesundheitsdaten und anderer nach § 203 StGB geschützter Daten von ihrer 
Schweigepflicht. 


3.3. Datenweitergabe an Rückversicherungen 

Um die Erfüllung Ihrer Ansprüche abzusichern, kann die Versicherung XY Rückversi- 
cherungen einschalten, die das Risiko ganz oder teilweise übernehmen. In einigen Fäl- 
len bedienen sich die Rückversicherungen dafür weiterer Rückversicherungen, denen 
sie ebenfalls Ihre Daten®'* übergeben. Damit sich die Rückversicherung ein eigenes Bild 
über das Risiko oder den Versicherungsfall machen kann, Ist es möglich, dass die Ver- 
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Sicherung XY Ihren Versicherungsantrag oder Leistungsantrag der Rückversicherung 
vorlegt. Das ist insbesondere dann der Fall, wenn die Versicherungssumme besonders 
hoch ist oder es sich um ein schwierig einzustufendes Risiko handelt. 

Darüber hinaus ist es möglich, dass die Rückversicherung die Versicherung XY auf- 
grund ihrer besonderen Sachkunde bei der Risiko- oder Leistungsprüfung sowie bei der 
Bewertung von Verfahrensabläufen unterstützt. 

Haben Rückversicherungen die Absicherung des Risikos übernommen, können sie kon- 
trollieren, ob die Versicherung XY das Risiko bzw. einen Leistungsfall richtig einge- 
schätzt hat. 

Außerdem werden Daten über Ihre bestehenden Verträge und Anträge im erforderli- 
chen Umfang an Rückversicherungen weitergegeben, damit diese überprüfen können, 
ob und in welcher Höhe sie sich an dem Risiko beteiligen können.^® Zur Abrechnung 
von Prämienzahlungen und Leistungsfällen können Daten über Ihre bestehenden Ver- 
träge an Rückversicherungen weitergegeben werden. 

Zu den oben genannten Zwecken werden möglichst anonymisierte bzw. pseudonymi- 
sierte Daten, jedoch auch personenbezogene Gesundheitsangaben verwendet. 

Ihre personenbezogenen Daten werden von den Rückversicherungen nur zu den vor- 
genannten Zwecken verwendet. Über die Übermittlung Ihrer Gesundheitsdaten an 
Rückversicherungen werden Sie durch die Versicherung XY unterrichtet^®. 


Ich willige ein, dass meine Gesundheitsdaten - soweit erforderlich - an Rückversiche- 
rungen übermittelt und dort zu den genannten Zwecken verwendet werden. Soweit 
erforderlich, entbinde ich die für die Versicherung XY tätigen Personen im Hinblick auf 
die Gesundheitsdaten und weiteren nach § 203 StGB geschützter Daten von ihrer 
Schweigepflicht. 


3.4. Datenaustausch mit dem Hinweis- und Informationssystem (HIS)^^ 

Die Versicherungswirtschaft nutzt zur genaueren Risiko- und Leistungsfalleinschätzung 
das Hinweis- und Informationssystem HIS, das derzeit die informa Insurance Risk and 
Fraud Prevention GmbH (informa IRFP GmbH, Rheinstraße 99, 76532 Baden-Baden, 
www.informa-irfp.de) betreibt. Auffälligkeiten, die auf Versicherungsbetrug hindeuten 
könnten, und erhöhte Risiken kann die Versicherung XY an das HIS melden. Die Versi- 
cherung XY und andere Versicherungen fragen Daten im Rahmen der Risiko- oder 
Leistungsprüfung aus dem HIS ab, wenn ein berechtigtes Interesse besteht.^® Zwar 
werden dabei keine Gesundheitsdaten weitergegeben, aber für eine Weitergabe Ihrer 
nach § 203 StGB geschützten Daten benötigt die Versicherung XY Ihre Schweige- 
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Pflichtentbindung. Dies gilt unabhängig davon, ob der Vertrag mit Ihnen zustande ge- 
kommen ist oder nicht. 


Ich entbinde die für Versicherung XY tätigen Personen von ihrer Schweigepflicht, so- 
weit sie Daten aus der Antrags- oder Leistungsprüfung an den jeweiligen Betreiber 
des Hinweis- und Informationssystems (HIS)^® melden. 


Sofern es zur Prüfung der Leistungspflicht erforderlich ist, können über das HIS Versi- 
cherungen ermittelt werden, mit denen Sie in der Vergangenheit in Kontakt gestanden 
haben, und die über sachdienliche Informationen verfügen könnten. Bei diesen können 
die zur weiteren Leistungsprüfung erforderlichen Daten erhoben werden (siehe unter 
Ziff. 2.1). 

3.5. Datenweitergabe an selbstständige Vermittler 

Die Versicherung XY gibt grundsätzlich keine Angaben zu Ihrer Gesundheit an selbst- 
ständige Vermittler weiter. Es kann aber in den folgenden Fällen dazu kommen, dass 
Daten, die Rückschlüsse auf Ihre Gesundheit zulassen, oder gemäß § 203 StGB ge- 
schützte Informationen über Ihren Vertrag Versicherungsvermittlern zur Kenntnis gege- 
ben werden. 

Soweit es zu vertragsbezogenen Beratungszwecken erforderlich ist, kann der Sie be- 
treuende Vermittler Informationen darüber erhalten, ob und ggf. unter welchen Voraus- 
setzungen (z. B. Annahme mit Risikozuschlag, Ausschlüsse bestimmter Risiken) Ihr 
Vertrag angenommen werden kann. 

Der Vermittler, der Ihren Vertrag vermittelt hat, erfährt, dass und mit welchem Inhalt der 
Vertrag abgeschlossen wurde. Dabei erfährt er auch, ob Risikozuschläge oder Aus- 
schlüsse bestimmter Risiken vereinbart wurden. 

Bei einem Wechsel des Sie betreuenden Vermittlers auf einen anderen Vermittler kann 
es zur Übermittlung der Vertragsdaten mit den Informationen über bestehende Risiko- 
zuschläge und Ausschlüsse bestimmter Risiken an den neuen Vermittler kommen. Sie 
werden bei einem Wechsel des Sie betreuenden Vermittlers auf einen anderen Vermitt- 
ler vor der Weitergabe von Gesundheitsdaten informiert sowie auf Ihre Widerspruchs- 
möglichkeit hingewiesen. 

Ich willige ein, dass die Versicherung XY meine Gesundheitsdaten und sonstigen nach 
§ 203 StGB geschützten Daten in den oben genannten Fällen - soweit erforderlich - an 
den für mich zuständigen selbstständigen Versicherungsvermittler übermittelt und diese 
dort erhoben, gespeichert und zu Beratungszwecken genutzt werden dürfen. 
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4. Speicherung und Verwendung Ihrer Gesundheitsdaten wenn der Vertrag 
nicht zustande kommt^° 

Kommt der Vertrag mit Ihnen nicht zustande, speichert die Versicherung XY Ihre im 
Rahmen der Risikoprüfung erhobenen Gesundheitsdaten für den Fall, dass Sie erneut 
Versicherungsschutz beantragen. Außerdem ist es möglich, dass die Versicherung XY 
zu Ihrem Antrag einen Vermerk an das Flinweis- und Informationssystem meldet, der an 
anfragende Versicherungen für deren Risiko- und Leistungsprüfung übermittelt wird 
(siehe Ziffer 3.4.). Die Versicherung XY speichert Ihre Daten auch, um mögliche Anfra- 
gen weiterer Versicherungen beantworten zu können. Ihre Daten werden bei der Versi- 
cherung XY und im Hinweis- und Informationssystem bis zum Ende des dritten Kalen- 
derjahres nach dem Jahr der Antragstellung®^ gespeichert. 


Ich willige ein, dass die Versicherung XY meine Gesundheitsdaten - wenn der Vertrag 

nicht zustande kommt - für einen Zeitraum von drei Jahren ab dem Ende des Kalen- 
derjahres der Antragstellung zu den oben genannten Zwecken speichert und nutzt.^^ 



Ort, Datum 

Unterschrift Antragsteller/in oder mitzu- 
versichernde Person 

Ort, Datum 

Unterschrift gesetzlich vertretene Person 
(bei Vorliegen der erforderlichen Ein- 
sichtsfähigkeit, frühestens ab Vollendung 
des 16. Lebensjahres) 

Ort, Datum 

Unterschrift des gesetzlichen Vertreters 


Seite 8 von 1 2 



Deutscher Bundestag — 17. Wahlperiode 


-237- 


Drucksache 17/13000 


Hinweise zur Anwendung der 

Einwiiiigungs- und Schweigepfiichtentbindungserkiärung für die Er- 
hebung und Verwendung von Gesundheitsdaten und sonstiger nach 
§ 203 StGB geschützter Daten 

Der vorliegende Text einer Einwiiiigungs- und Schweigepflichtentbindungsklausel ist vom 
GDV mit den Datenschutzaufsichtsbehörden abgestimmt worden. Der Verbraucherzentrale 
Bundesverband war ebenfalls an den Gesprächen beteiligt. Die Klausel wird flankiert durch 
Verhaltensregeln für den Umgang mit personenbezogenen Daten in der Versicherungswirt- 
schaft (Code of Conduct). Zweck ist, lediglich für die tatsächlich einwilligungsbedürftigen Da- 
tenerhebungs- und -Verwendungsprozesse eine Einwiiiigungs- und Schweigepflichtentbin- 
dungserklärung einzuholen. Andere Datenverarbeitungen werden in einem Code of Conduct 
konkretisiert. Sowohl die Klausel als auch der Code of Conduct werden in regelmäßigen Ab- 
ständen gemeinsam überarbeitet, um aktuelle Entwicklungen der Datenverarbeitung und ge- 
setzliche Änderungen zu berücksichtigen. 

Hinweise zur Klausel - BAUSTEINSYSTEM 

Die Texte stellen einen maximalen Rahmen für Einwiiiigungs- und Schweigepflichtentbin- 
dungserklärungen dar. Wegen des im BDSG verankerten Prinzips der Datensparsamkeit sind 
nur die Textpassagen zu verwenden, die benötigt werden. Soweit im Rahmen einer Versiche- 
rungssparte oder eines Versicherungsprodukts bestimmte Datenverarbeitungen nicht erfol- 
gen, wie etwa die Erhebung von Gesundheitsdaten bei Dritten zur Risikoprüfung, ist der Text 
entsprechend zu kürzen. Werden Datenverarbeitungen beschrieben, die das Unternehmen 
nicht durchführt oder nicht plant, wie zum Beispiel die Datenweitergabe zur medizinischen 
Begutachtung oder die Datenweitergabe an Rückversicherer, ist der entsprechende Absatz / 
Satz nicht zu verwenden. 

Zu beachten ist dabei jedoch, dass die in Abschnitt 2.1 . angebotenen Wahlmöglichkeiten be- 
stehen bleiben müssen. Das heißt, wenn für die Datenerhebung bei Dritten mit dem Antrag 
eine Einwilligung eingeholt werden soll, müssen auch beide Alternativen (Pauschaleinwilli- 
gung / Einzelfalleinwilligung) angeboten werden. Erfolgt keine Wahl, muss spätestens unmit- 
telbar vor der Datenerhebung eine Einwilligung eingeholt werden. Die dafür zu gestaltenden 
Erklärungen sollten sich an den hier vorliegenden orientieren. 

Die vorliegende Einwiiiigungs- und Schweigepflichtentbindungsklausel bezieht sich auf Ge- 
sundheitsdaten und darüber hinaus auf weitere nach § 203 Abs. 1 StGB geschützte Daten, 
wie die Tatsache des Bestehens eines Versicherungsvertrags. Gesundheitsdaten können in 
allen Versicherungssparten anfallen, auch dort, wo dies nicht sofort vermutet wird, z.B. in der 
Reisegepäckversicherung (Verletzungen durch Raub) und In der Kfz-Versicherung (Verlet- 
zungen durch Unfall). Die Einwiiiigungs- und Schweigepflichtentbindungserklärungen müssen 
vor der jeweils ersten Verarbeitung von Gesundheitsdaten im Unternehmen dem Antragstel- 
ler bzw. Versicherungsnehmer vorgelegt werden, soweit sie für bevorstehende Datenerhe- 
bungen, -Verarbeitungen oder -nutzungen benötigt werden. 

Sollen andere besondere Arten personenbezogener Daten Im Sinne des § 3 Abs. 9 BDSG er- 
hoben, verarbeitet oder genutzt werden, wie bspw. die Information über eine Gewerkschaftszu- 
gehörigkeit zur Prämienberechnung in speziellen Tarifen gewerkschaftsnaher Unternehmen, ist 
mit dem betreffenden Antrag eine entsprechende Einwilligungserklärung vom Antragsteller ein- 
zuholen. Diese kann z. B. wie folgt formuliert und gestaltet werden: 


Seite 9 von 1 2 


Drucksache 17/13000 


-238- 


Deutscher Bundestag — 17. Wahlperiode 


Ich willige in die Erhebung, Verarbeitung und Nutzung meiner Angaben zur Gewerk- 
schaftszugehörigkeit ein, soweit dies zur Antragsprüfung sowie zur Begründung, 
Durchführung oder Beendigung dieses Vertrages, insbesondere zur Berechnung mei- 
ner Versicherungsprämie, erforderlich ist. 


^ Hier und im Folgenden kann anstelle von „die Versicherung XY“ der Name des verwendenden 
Unternehmens oder nach einmaliger Nennung (etwa „wir, die Versicherung XY“) jeweils „wir“ 
eingefügt werden. 

^ Hier kann die konkrete Sparte genannt werden. 

^ Das Beispiel soll verdeutlichen, dass Versicherer diese Daten nicht willkürlich an x-beliebige 
Stellen weitergeben. Daher können hier einige für die verwendende Versicherung typische Bei- 
spiele genannt werden, die die Breite der Weitergabemöglichkeiten erkennen lassen, wie z. B. 
Assistancegesellschaften, HIS-Betreiber oder IT-Dienstleister. 

^ Die Klausel ist zunächst nur für Kranken-, Lebens- und Berufsunfähigkeitsversicherungen zu 
verwenden, weil in diesen Sparten von Vertragsbeginn an Gesundheitsdaten erhoben und ver- 
wendet werden. In anderen Sparten ist der Text entsprechend anzupassen und ggf. nur aus- 
zugsweise zu verwenden. In Abstimmung mit den Sparten Unfall und Haftpflicht wird den Un- 
ternehmen ein angepasster Vorschlag zur Verfügung gestellt. 

® Verweis auf die Folgen der Verweigerung der Einwilligung gemäß § 4a Abs. 1 Satz 2 BDSG 
® Werden bei einem Versicherungsprodukt generell keine Kinder und / oder gesetzlich vertre- 
tende Personen mitversichert, ist der Absatz bzw. der entsprechende Satz zu streichen. Wer- 
den Kinder oder andere gesetzlich vertretene Personen mitversichert, unterschreiben diese ab 
dem 16. Lebensjahr eine eigene Erklärung, wenn davon auszugehen ist, dass diese einsichts- 
fähig sind. Diese Erklärung ist aus zivilrechtlichen Gründen auch vom gesetzlichen Vertreter (in 
der Regel dem Versicherungsnehmer) zu unterzeichnen (siehe unten, Unterschriftenfelder). 
Damit verbleibt die Entscheidung über das tatsächliche Bestehen der Einsichtsfähigkeit bei dem 
gesetzlichen Vertreter. 

”Wenn Unternehmen stets eine Einwilligung im Einzelfall einholen, wird Ziffer 2.1 gestrichen 
und der Erläuterungstext über dem grauen Kasten wird für die Einzelfalleinwilligung entspre- 
chend angepasst. 

® Der 2008 in Kraft getretene § 213 VVG führt enumerativ die Stellen auf, bei denen der Versi- 
cherer mit Einwilligung des Betroffenen dessen Gesundheitsdaten erheben darf. Hinsichtlich 
der fehlenden sonstigen Heilberufe (Heilpraktiker, Physiotherapeut, Psychotherapeut) sowie der 
Versicherer, die keine Personenversicherer im herkömmlichen Sprachgebrauch sind, aber den- 
noch zur Regulierung von Personenschäden Gesundheitsdaten verarbeiten, wird § 213 VVG 
weit ausgelegt, vgl. auch Eberhardt in: Münchener Kommentar, § 213 VVG, Rn. 35-40. 

® Entsprechend der Annahmepolitik der Versicherungsunternehmen kann für alle oder bestimm- 
te Antragsfragen ein kürzerer Zeitraum zugrunde gelegt werden. 

Umsetzung der Unterrichtungs- und Hinweispflicht nach § 213 Abs. 2 S. 2 i.V.m. Abs. 4 VVG 
Bei der privaten Krankenversicherung ist wegen § 194 Abs. 1 Satz 4 VVG eine Frist von drei 
Jahren einzusetzen. Bei vorsätzlichem Verhalten gilt auch für die PKV die Zehn-Jahresfrist. 

Anhaltspunkte für vorsätzlich falsche Angaben können sich etwa aus Unstimmigkeiten zwi- 
schen der Erkrankung und den Angaben im Antrag ergeben. Eine Überprüfung kann dann er- 
geben, dass es am Vorsatz fehlt und die Datenerhebung für den Betroffenen keine negativen 
Konsequenzen hat. 

Bei Abschnitt 2.2 ist es möglich, das zweite Ankreuzfeld nicht zu nutzen, sodass keine 
Wahlmöglichkeit besteht und nur das erste Feld angekreuzt werden kann. Der letzte erläutern- 
de Satz vor dem grau unterlegten Feld entfällt dann. Wird das erste (einzige) Ankreuzfeld dann 
nicht angekreuzt, würde bei einer gerichtlichen Prüfung entweder eine andere Willenserklärung 
herangezogen (z.B. Testament) oder bei Fehlen einer solchen auf den mutmaßlichen Willen 
des Betroffenen abgestellt. Ein automatischer Übergang der höchstpersönlichen Verfügungsbe- 
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fugnis auf Erben oder Bezugsberechtigte des Vertrags erfolgt regelmäßig nicht. Bei Anbieten 
einer echten Wahlmöglichkeit und einem vorliegenden Kreuz erscheint der Bestand der Erklä- 
rungen vor Gericht als wahrscheinlicher, sodass die Bezugnahme auf den mutmaßlichen Willen 
in einem möglichen Zivilprozess nicht nötig erscheint. 

Die vertragliche Verpflichtung auf Einhaltung von Datenschutz und Datensicherheit auch für 
Stellen, die eigenverantwortlich Aufgaben übernehmen, ergibt sich aus dem künftigen Art. 21 
Abs. 4 Code of Conduct (CoC). Diese Verpflichtung wurde dort für die Funktionsübertragung an 
Dienstleister als datenschutzrechtlicher Mehrwert für die Betroffenen vereinbart. Rückversiche- 
rer werden nicht als Dienstleister des Erstversicherers im Sinne von Art. 21 angesehen, wenn 
sie den Erstversicherer im Rahmen von Rückversicherungsverträgen bei der Risiko- und Leis- 
tungsprüfung unterstützen. Sofern der Erstversicherer Rückversicherer außerhalb von Rückver- 
sicherungsverträgen als Dienstleister einsetzt und diese noch nicht vertraglich auf die Einhal- 
tung von Datenschutz und Datensicherheit verpflichtet hat, ist dies nachzuholen (vgl. auch Hin- 
weis 18). 

Die Unterrichtungspflicht wurde aufgenommen, um mehr Transparenz zu schaffen. Hierfür ist 
mitzuteilen, welche konkreten Daten, für welchen Zweck, an welche Stelle übermittelt werden 
sollen. 

Der Satzteil “für sich und” ist nur für die Kranken, Leben- und Unfallversicherung zu verwen- 
den. 

Die Mitarbeiter anderer Stellen werden von ihrer Schweigepflicht entbunden, wenn sie ihrer- 
seits im Rahmen der von ihnen zu erledigenden Aufgaben nach § 203 StGB geschützte Daten 
an den Versicherer oder an andere Stellen, wie z. B. mit der IT-Wartung beauftragte Subunter- 
nehmen weitergeben. 

In der Liste werden die Stellen und Kategorien von Stellen aufgezählt, die Gesundheitsdaten 
erheben, verarbeiten oder nutzen. Ebenfalls gemeint sind Stellen und Kategorien von Stellen, 
die einfache personenbezogene Daten, die nach § 203 StGB geschützt sind, wie z. B. die In- 
formation, dass ein Lebensversicherungsvertrag besteht, verwenden. Nicht gemeint sind Stel- 
len, die im Rahmen der ihnen zugewiesenen Aufgaben keine Gesundheitsdaten verarbeiten, 
diese aber theoretisch einsehen können (Bsp. Personen oder Unternehmen, die mit der IT- 
Wartung betraut sind). In die Liste werden sowohl Dritte im datenschutzrechtlichen Sinn als 
auch Auftragdatenverarbeiter, bei denen Abgrenzungsschwierigkeiten zur Funktionsübertra- 
gung bestehen (siehe Endnote 23), aufgenommen. Rückversicherer werden als Dienstleister 
des Erstversicherers angesehen, wenn sie ohne einen Rückversicherungsvertrag nur als 
Dienstleister des Erstversicherers tätig werden. 

Werden Aufgaben im Wesentlichen von einem Unternehmen an ein anderes Unternehmen 
der XY-Versicherungsgruppe oder an eine externe Stelle abgegeben, ist die andere Stelle na- 
mentlich anzugeben unter Bezeichnung der Aufgabe. Hierunter fallen z. B. Stellen, die die Auf- 
gaben Risikoprüfung, Leistungsfallbearbeitung oder Serviceleistung für das Unternehmen über- 
nehmen. 

20 

Fehlt es an einer systematischen automatisierten Datenverarbeitung, können die Stellen, an 
die Gesundheitsdaten weitergegeben werden bzw. die zur Erfüllung ihrer Aufgabe selbst Ge- 
sundheitsdaten erheben, in Kategorien zusammengefasst werden unter Bezeichnung der Auf- 
gabe. Dies gilt auch für Stellen, die nur einmalig tätig werden, wie z.B. Krankentransporte. 

^ Die Liste der Dienstleister soll in der Form, in der die Einwilligungs- und Schweigepflichtent- 
bindungserklärung erteilt wird, als Anlage mitgegeben werden. 

Die Einwilligung gilt in jedem Fall für die Datenübermittlung an eigenverantwortliche Dienst- 
leister. Sie ist außerdem bei Abgrenzungsschwierigkeiten zwischen Auftragsdatenverarbeitung 
und Funktionsübertragung einzuholen. Das Einwilligungserfordernis gilt nicht, wenn es sich in 
Übereinstimmung mit der zuständigen Datenschutzaufsichtsbehörde um eine eindeutige Auf- 
tragsdatenverarbeitung handelt. In diesen Fällen sollte dennoch eine Schweigepflichtentbin- 
dung eingeholt werden. 

„und sonstige Stellen“ - Dieser Passus wird gestrichen, wenn keine schweigepflichtgebunde- 
nen Dienstleister und Auftragnehmer eingeschaltet sind. 
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Sollen Gesundheitsdaten an den Rückversicherer des Rückversicherers übermittelt werden, 
Ist eine spezielle Einwilligung zu prüfen. 

Für die Kumulkontrolle ist eine Schweigepflichtentbindung erforderlich, da nach § 203 StGB 
geschützte Daten weitergegeben werden, jedoch keine Gesundheitsdaten. 

® Die Unterrichtungspflicht des Erstversicherers ersetzt die anderenfalls von den Datenschutz- 
behörden geforderte ausführliche Erklärung entsprechend dem Baustein 2.1. zur Erhebung von 
Gesundheitsdaten bei Dritten. Zu unterrichten ist über die konkret übermittelten Daten, den 
Zweck der Übermittlung und den Empfänger der Daten. 

Da keine einwilligungsbedürftigen besonderen Arten personenbezogener Daten nach § 3 
Abs. 9 BDSG (Gesundheitsdaten) an das HIS gemeldet werden, betrifft die Schweigepflichtent- 
bindung nur die nach § 203 StGB geschützten Daten, hier etwa die Tatsache, dass ein Versi- 
cherungsvertrag besteht. 

Da nur die Sparten Unfall und Leben von § 203 Abs. 1 Nr. 6 StGB erfasst werden und mit dem 
HIS arbeiten, ist der Passus für die anderen Sparten zu streichen. Im Fall der Nutzung ist die 
Information des Versicherungsnehmers über das Hinweis- und Informationssystem dann in an- 
derer Weise sicherzustellen. Soweit Gesundheitsdaten im Leistungsfall im Rahmen der Detail- 
anfrage ausgetauscht werden, gelten die Einwilligungserklärungen unter 2.1 . 

Ein berechtigtes Interesse für die Abfrage zum Zweck der Risiko- und Leistungsprüfung ist 
stets gegeben mit Ausnahme des Erlebensfalls in der Lebensversicherung. 

Durch die Formulierung „an den jeweiligen Betreiber“ sowie die Aufnahme von „derzeit“ im 
ersten Satz des erläuternden Textes wird deutlich gemacht, dass sich der Betreiber des HIS 
ändern kann. Die Schweigepflichtentbindungserklärung soll auch künftige Betreiber erfassen. 

Der Passus ist zu streichen, wenn eine Speicherung von Antragsdaten bei Nichtzustande- 
kommen des Vertrags nicht erfolgt. 

Daten über nicht zustande gekommene Verträge sind bei dem Versicherungsunternehmen spä- 
testens drei Jahre gerechnet vom Ende des Kalenderjahres nach Antragstellung zu löschen. 
Auch im Hinweis- und Informationssystem werden diese Daten entsprechend gelöscht. 
Gesetzliche Aufbewahrungspflichten oder -befugnisse bleiben hiervon unberührt. Werden 
Schadensersatzansprüche gegen das Unternehmen geltend gemacht oder bei Prüfungen durch 
Behörden kann sich eine längere Aufbewahrung auch aus § 28 Abs. 6 Nr. 3 BDSG rechtferti- 
pn. 

Es zählt das Datum der Unterschrift im Antrag. 

32 

Die Nutzung ist nur zu eigenen Zwecken des Versicherers zulässig. Die Übermittlung an ein 
anderes Unternehmen ist nur auf der Basis einer von diesem einzuholenden Einwilli- 
gung/Schweigepflichtentbindung nach Ziffer 2.1. zulässig. 
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Medizinischer Dienst der Krankenversicherung (MDK) 
11.1.7; 11.1.8.; 11.1.10; 11.1.8; 11.3 

Meldedaten 14.3 

Meldepflicht 3.5.3 

Melderegister 8.2 

Melderegisterauskünfte 8.2 

Meldeverfahren 4.2.3 

Meldewesen 8.2 

Mentana Claimsoft AG 3.2.4 

Merkmale, biometrische 16.16 

Mikrochip 10.8 

Militärischer Abschirmdienst 7.2; 7.7.3; 7.7.6 
Mindeststandards 2.2.1 
Missbrauchskontrolle 12.1.3.3 
Mitarbeiter, ehemalige 8.6 
Mitarbeiterdatenschutz 12.1.3.9 
Mitwirkungspflicht 12.1.1.3 
Morbi-RSA 11.1.3 
Musterungsakten 14.2.4 
Mutter- Kind-Kur 11.1.9 
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Nationale Kohorte 11.5.4 

Nationaler Krebsplan 11.5.3 

Nationales Waffenregister 8.7 

Nationalsozialistischer Untergrund (NSU) 7.7.5; 7.7.6 

Need to Share 7.7.1 

Notrufordnung 6.6 

Novellierung des Telekommunikationsgesetzes 6.4 
NSU-Mordserie 7.3 
NS- Vergangenheit 8.6 
Nutzung, pseudonyme 2.3.4 

OECD 2.4.5 

OECD Privacy Guidelines 2.4.5 

Öffentlichkeitsfahndung im Internet 7.4.7 

Offenbarungsbefugnis 12.1.3.7 

OMS 4.2.1; 4.2.3 

Open Data 3.2.3 

Open Government 3.2.3 

Optionskommunen 12.1.1 

Organspende 11.5.5 

Ortungsdienste 6.5 

Outsourcing 8.11 

Packstationen 6.12.2 

Parlamentarisches Kontrollgremium 7.7.2; 7.7.6 

Passagierdaten 2.5.2. 1 

Patientenakte 11.5.1 

Patientenrechtegesetz 11.5.1 

PEP-Liste7.10 

persönliche Identifikation 4.4 

Persönlichkeitsbeschreibung 7.6.1 

Persönlichkeitsrechte 16.13 

Personal 15.5 

Personalakte 8.6; 12.1.3.9; 13.3; 13.4 
Personalakte, elektronische 13.2; 13.3 
Personalaktengeheimnis 8.6; 13.4 
Personalausweis 2.3.4; 8.4; 8.5; 12.1.3.6 
Personaldatenverarbeitung, automatisierte 13.2; 13.4 
Personalgewinnung 14.2.3 

Personalinformations- und Personalverwaltungssysteme 
13.2 

Personalverwaltungssystem 13.2; 13.4 


Personenkraftverkehr, grenzüberschreitender 10.11 
Pflege Versicherung 11.3 

PIA (Datenschutzfolgen-Abschätzung) 2.1.1; 2.4. 1.3; 4.4 
PlAV 7.4.5 

PNR (Passenger Name Record)-Daten 2. 5. 2.1; 2. 5. 2. 2 
Polizei 10.8 

Polizeilicher Informations- und Analyseverbund (PlAV) 
7.4.5 

polizeiliches Informationssystem (INPOL) 7.4.3; 7.4.5 
Postdienstleister 6.13 
Postgeheimnis 14.1 
Präfix 5.6 

Privacy by Default 2.1.1 
Privacy by Design 2.1.1 
Privacy Policy 5.9 
PRIVIDOR 15.7 
Profilbildung 2.1.1 
Profiling 2.4.3 
Protokolldaten 10.7; 15.7 
Protokollierung 3.2.4 
Prozessdatenbeschleuniger 4.2.3 
Prozesskostenhilfe 16.5 
Prüfkompetenz 7.7.6 
Pseudonym 11.1.3 
Pseudonymisierung 2.1.1 

Qualitätskontrolle 11.5.3 
Quellcode 7.4.1 

Quellen-Telekommunikationsüberwachung 7.4.1; 7.4.2 
Rabatte 13.5 

Rat der Europäischen Union 2.1 
Reality-TV 9.7 
Rechenzentren 11.1.2 
Recht auf Datenübertragbarkeit 2.1.1 
Recht auf Vergessenwerden 2.1.1 
Rechtsaufsicht 3 . 1 
Rechtsextremismus 7.2; 7.3 
Rechtsverkehr, elektronischer 8.13 
Registrierungsstelle 5.5 
Reha-Entlassungsbericht 11.1.8 
Reisende, registrierte 2. 5. 3. 3 
RESISCAN 3.2.2; 12.2.1 
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Restschuldbefreiung 10.2 
Revisionsfahigkeit 4.9 
RF1D2.4.1.3 

Richtlinie für den Datenschutz im Bereich von Polizei 
und Justiz 2.1.2 

Risikoeinschätzung 7.5.2 

Sachleistungen 16.3 

Safe-Harbor 2.5.4 

Scannen, ersetzendes 3.2.2; 12.2.1 

Schadprogramm-Erkennungssystem (SES) 4.7 

Schadsoftware 3.2.4 

Schall- und Sichtschutzwände 12.1.3.2 

Schengener Grenzkodex (SGK) 2. 5. 3. 2 

Schuldnerverzeichnis 8.12 

Schutzbedarf 3.2.4 

Schutzklassen 4.6 

Schweigepflichtentbindung/-serklärung 11.1.8; 12.2.3 

Screening 11.5.3 

Screeningmaßnahmen 13.1 

Selbstauskunftsbogen 11.1.8 

Selbstbestimmung, informationelle 8.6 

Selbstregulierung 2.1.1; 2.5.4; 3.4 

Sendungsfotografie 16.17 

Service Level Agreement 4.3 

Sicherheitsbehörden 4.3 

Sicherheitsstufe 4.6 

Sicherheitsüberprüfung 7.5.1; 7.8.2 

Sicherheitsüberprüfungsgesetz 7.8.1 

Signatur, elektronische 2.3.4 

Signatur, qualifizierte 12.2.1 

Signatur, qualifizierte digitale 13.3 

Signatur, qualifizierte elektronische 3.2.3; 4.2.3 

Signatur/Stapelsignatur 12.2.1 

smart border 2. 5. 3. 3 

Smart Grids 10.1 

Smart Meter 10.1 

Smart Metering 2.4.1.3; 10.1 

Smartphone 5.10 

Social Plugins 5.8.3 

Sorgfaltspfiicht 7.10 

Sozialausgleich 16.10 

Sozialdaten 3.2.4 


Soziale Netzwerke 5.8 ff; 12.1.3.3 

Sozialgeheimnis 11.1.8; 11.4.1; 12.1.3.2; 12.2.2 

Sozialleistungsträger 3.2.4 

Sozialversicherungsrecht 4.2.3 

Speicherdauer 6.7 

Sperrmanagement 8.5 

Sperrzeit 4.2.2 

Spring Conference 2.4.2 

Standortdaten 6.5 

Stapelsignatur 12.2.1 

Stasi-Unterlagen 8.8 

Stasi-Unterlagen-Gesetz 8.6; 16.16 

Statistikgeheimnis 4.3 

Statistischer Verbund 4.3 

Statistisches Bundesamt 10.10 

Stellen 15.5 

Stellenzuwachs 15.5 

Stellungnahmen der Artikel-29-Gruppe 2.4.1 
Steuerdaten-CD 9. 1 
Steueridentifikationsnummer 9.2 
Stichprobe 10.10 
Stiftung Datenschutz 3.6 
Straßenverkehrsgesetz 10.7 
Stromzähler 10.1 

Subgroup International Transfer 2. 4. 1.2 
Substitutionsregister 11.5.6 
SWIFT-Daten 2.5.1 

TACHOnet-Plattform 10.8 
TAIEX-Programm 15.4 
Tarifbeschäftigte 8.6 
T-Deutschland GmbH 3.2.4 
Technisches Hilfswerk (THW) 8.10 
Technologischer Datenschutz 2. 4. 1.3 
Technology Subgroup 2.4. 1.3 
Telekommunikation 7.7.4 
Telekommunikationsbestandsdaten 6.3 
Telekommunikationsbeziehungen 7.7.4 
Telekommunikationsgesetz 6.4 
Terrorismus, internationaler 7.4.2 
Terrorismusbekämpfung 7.4.2 
Transaktion, elektronische 2.3.4 
Transparenzregelung 11.1.3 
Transplantationsgesetz 11.5.5 
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Transportverschlüsselung 3.2.4 
Transsexuelle 9.2 
Trennungsgebot 7.7.1 
Treuhänder 13.5 
Triebfahrzeugführerschein 10.9 
Triebfahrzeugführerscheinregister 10.9 
T-Systems International GmbH 3.2.4 

Übereinkommen 108 2.4.5 

Übermittlung von Sozialdaten 12.1.3.4; 12.1.3.7; 12.2.2; 
12.2.4; 16.4 

Überwachungsgesamtrechnung 7.1 
Unerlässlichkeit 16.13 

Untemehmensregelungen, verbindliche 2. 4. 1.2 

Untemehmensregelungen für Auftragsdatenverarbeifer, 
verbindliche 2.4. 1.2 

Untemehmensregister für Kraflverkehrsuntemehmer 10.11 
Unterstützungspflicht 9.4 
Urheberrecht 5.1.2; 5.2 
USA 2.5. 1;2.5.2.1; 2.5.4 

Verarbeitung, automatisierte 3.2.1 
Verbindungsbüro 15.6 
Verfahren, automatisierte 10.7 
Verfahrensdokumentation 4.9 
Verfahrensverzeichnis 3.3.1; 10.12 
Verfassungsbeschwerde 7.2 
Verhaltensregeln 3.4; 10.4 
Verkehrsdaten 6.7 
Verkehrsuntemehmensdatei 10.11 
Verkehrszentralregister 10.9 
Vermieterbescheinigung 12.1.3.7 
Vernichtung 4.4 

Versorgung, hausarztzentrierte 11.1.2 
Vertragsverletzungsverfahren 3.1 
vertragswidriges Verhalten 4.2.2 
Vertrauensdienste, elektronische 2.3.4 
Vertrauensstelle 11.1.3 
Verwaltungsdaten 8.1.2 
Videokamera 3.3.1 
Videoüberwachung 3.3 f; 13.1 
Visa-Informationssystem (VIS) 2.2.5 
Visa-Kodex 8.11 
Visa-Wamdatei 8.9 


V-Leute 7.7.6 
Volkszählung 8.1.1 
Vollstreckungsportal 8.12 
Vorabkontrolle 3.3.1 

Vorgangsbearbeitung, papiergebundene 4.5 
Vorratsdatenspeicherung 2. 5. 3. 3; 4.2.3; 6.1 
Vorsorgeuntersuchung 11.5.3 

Wehrdienst 14.2.4 
Wehrpflicht 14.2 
Wehrpflichtiger 14.2.4 
Wehrrechtsänderungsgesetz 14.2 
Weitergabe von Sozialdaten 12.2.4 
Welt-Anti-Doping-Agentur (WADA) 8.14 
Werbebanner 5.10 
Werbematerial 14.3 
Werbung 16.1 
Whereabouts 8.14 
Widerspruchsrecht 4.2.2; 14.3 
Wirtschaftsprüferkammer 10.5 
Wohngeld 10.10 

Zeitgeschichte 16.13 
Zensur 16.13 
Zensus 2011 8.1.1 

Zentraldatei „Politisch motivierte Kriminalität - links“ 
7.4.4 

Zentrale Auslands- und Fachvermittlung 12.2.4 

Zentrales Kontrollgerätkartenregister (ZKR) 10.8 

Zentrale Steuerdatenbank 16.6 

Zentrales Verkehrsinformationssystem 10.7 

Zeugenschutz 9.2 

ZEVIS 10.7 

Zivildienst 14.2.1 

Zoll 7.5.1; 9.7; 10.8 

Zollfahndungsdienst 7.5.2 

Zoll-Informationssystem (ZIS) 2.2.3 

Zugang, archivrechtlicher 8.6 

Zugelassener Wirtschaftsbeteiligter 7.5.1 

Zusammenarbeit, grenzüberschreitende 2.4.4 

Zusatzbeitrag 16.10 

Zusatzversicherung 11.1.1; 16.8 

Zustelldienste, elektronische 2.3.4 
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Abkürzungsverzeichnis/Begriffe 


A2LL 

AA 

a.a.O 

ACTA 

ABI. 

ABG 

ABMG 

Abs. 

ADAMS 

AEG 

AEUV 

AG 

AG 

AGB 

AEG II 

ALLEGRO 

Alt. 

AND 

AO 

AOK 

AOS 

APAK 

APEC 

ARGE 

Art. 

AS 

ATD 

ATDG 

ATM 

AufenthG 

AufenthV 

AuslG 

AVV 

AWG 

Az. 

AZR 

AZRG 


Alg II-Leistungen zum Lebensunterhalt 

Auswärtiges Amt 

am angegebenen Orte 

Anti-Counterfeiting Trade Agreement 

Amtsblatt der Europäischen Gemeinschaften 

Automatisierte und biometriegestützte Grenzkontrolle 

Autobahnmautgesetz 

Absatz 

Anti Doping Administration and Management System 

Authorized Economic Operator 

Vertrag über die Arbeitsweise der Europäischen Union 

Aktiengesellschaft, aber auch: Arbeitsgruppe 

Amtsgericht 

Allgemeine Geschäftsbedingungen 
Arbeitslosengeld II 

Alg II-Leistungsverfahren Grundsicherung Online 
Alternative 

Andere Nachrichtendienste 

Abgab enordnung 

Allgemeine Ortskrankenkasse 

Allianz Ortungs Services GmbH 

Abschlussprüferaufsichtskommission 

Asia Pacific Economic Cooperation 

Arbeitsgemeinschaften nach dem Sozialgesetzbuch II 

Artikel 

Autorisierte Stelle 

Antiterrordatei 

Antiterrordateigesetz 

Asynchronous Transfer Mode 

Aufenthaltsgesetz 

Aufenthaltsverordnung 

Ausländergesetz 

Allgemeine Verwaltungsvorschrift 

Außenwirtschaftsgesetz 

Aktenzeichen 

Ausländerzentralregister 

Gesetz über das Ausländerzentralregister 
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BA 

BAFA 

BaFin 

BAföG 

BAFzA 

BAG 

BAköV 

BAMF 

BArchG 

BASt 

BAZ 

BBG 

BBK 

BBR 

BBSR 

BCR 

BDBOS 

bDSB 

BDSG 

Bea 

BerCA 

BevStatG 

BfA 

BFD 

BFD 

BfDBW 

BFDG 

BfDl 

BfD/BA 

BFH 

Bf/ 

BGBl. 

BGH 

BlSp 

BITKOM 

BKA 

BKAG 


Bluetooth 

BMAS 

BMF 


Bundesagentur für Arbeit 

Bundesamt für Wirtschaft und Ausfuhrkontrolle 

Bundesanstalt für Finanzdienstleistungsaufsicht 

Bundesausbildungsforderungsgesefz 

Bundesamt für Familie und zivilgesellschaftliche Aufgaben 

Bundesamt für Güterverkehr 

Bundesakademie für öffentliche Verwaltung 

Bundesamt für Migration und Flüchtlinge 

Bundesarchivgesetz 

Bundesanstalt für Straßenwesen 

Bundesamt für den Zivildiensf 

Bundesbeamtengesefz 

Bundesamt für Bevölkerungsschutz und Katastrophenhilfe 
Bundesanstalt für Bauwesen und Raumordnung 
Bundesinstitut für Bau-, Stadt- und Raumforschung 

Binding Corporate Rules; verbindliche untemehmensinteme Datenschutzregelungen 

Bundesanstalt für den Digitalfunk der Behörden und Organisationen mit Sicherheitsaufgaben 

behördlicher Datenschutzbeauftragter 

Bundesdatenschutzgesetz 

Bescheinigungen elektronisch annehmen 

Berechtigungszertifikateanbieter 

Bevölkerungsstatistikgesetz 

Bundesversicherungsanstalt für Angesfellte 

Bundesbeauftragfer für den Datenschutz 

Bundesfinanzdirektion 

Beauftragter für den Datenschutz in der Bundeswehr 
Bundesfreiwilligendienstgesetz 

Bundesbeauftragter für den Datenschutz und die Informationsfreiheit 

Beauftragter für den Datenschutz der Bundesanstalt für Arbeit 

Bundesfinanzhof 

Bundesamt für Verfassungsschufz 

Bundesgesetzblatt 

Bundesgerichtshof 

Bundesinstitut für Sportwissenschaft 

Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e. V. 
Bundeskriminalamt 

Gesetz über das Bundeskriminalamt und die Zusammenarbeit des Bundes und der Länder in krimi- 
nalpolizeilichen Angelegenheiten 

Standard für die drahtlose Übermitlung von Sprache und Daten im Nahbereich 
Bundesministerium für Arbeit und Soziales 
Bundesministerium der Finanzen 
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BMFSFJ 

BMG 

BMGS 

BMI 

BMJ 

BMVBS 

BMVg 

BMWi 

BND 

BNDG 

BNetzA 

BR 

BR-Drs. 

BSG 

BSH 

BSI 

BSIG 

BStU 

BT 

BVA 

BVerfG 

BVerfGE 

BVerfSchG 

BVerwG 

BVV 

BZR 

BZRG 

BZSt 

bzw. 


Bundesministerium für Familie, Senioren, Frauen und Jugend 
Bundesministerium für Gesundheit 

Bundesministerium für Gesundheit und Soziale Sicherung 
Bundesministerium des Innern 
Bundesministerium der Justiz 

Bundesministerium für Verkehr, Bau- und Stadtentwicklung 

Bundesministerium der Verteidigung 

Bundesministerium für Wirtschaft und Technologie 

Bundesnachrichtendienst 

Gesetz über den Bundesnachrichtendienst 

Bundesnetzagentur für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen 
Bundesrat 

Bundesrats-Drucksache 

Bundessozialgericht 

Bundesamt für Seeschifffahrt und Hydrographie 
Bundesamt für Sicherheit in der Informationstechnik 
BSI-Gesetz 

Bundesbeauftragter für die Unterlagen des Staatssicherheitsdienstes der ehemaligen DDR 
Bundestag 

Bundesverwaltungsamt, aber auch: Bundesversicherungsamt 

Bundesverfassungsgericht 

Entscheidungen des Bundesverfassungsgerichts 

Bundesverfassungsschutzgesetz 

Bundesverwaltungsgericht 

Bundesvermögensverwaltung 

Bundeszentralregister 

Bundeszentralregistergesetz 

Bundeszentralamt für Steuern 

beziehungsweise 


ca. 

CBPR 

CG 

CD / CD-ROM 

CDR 

CIA 


circa 

Cross Border Privacy Rules 
Common Criteria 

Compact Disc - Read Only Memory 

Call Data Records 

Central Intelligence Agency, USA 


DB Deutsche Bahn 

d.h. das heißt 

DDR Deutsche Demokratische Republik 

DECT Digital Enhanced Cordless Telecommunications 
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DHR Deutsches Hämophilieregister 

DIBAS Digitalisierung von Schriftgut der Bundesagentur für Arbeit 

DLZ Dienstleistungszentrum 

DMDA akkreditierte De-Mail-Diensteanbieter 

DNS Domain Name System 

DNT Do not track 

Dok. Dokument 

DPAG Deutsche Post AG 

DPI Deep Packet Inspection 

DPIA Data Protection Impact Assessment 

DPMA Deutsches Patent- und Markenamt 

DRM Digital Rights Management (Digitales Rechte Management) 

Drs. Drucksache 

DRV Bund Deutsche Rentenversicherung Bund 

DSK Datenschutzkommission (Österreich) 

DSL Digital Subscriber Line 

DSRV Datenstelle der Träger der Rentenversicherung 

DTAG Deutsche Telekom AG 

Düsseldorfer Kreis Koordinierungsgremium der obersten Aufsichtsbehörden für den Datenschufz im nicht-öffent- 
lichen Bereich 

DV/dv Datenverarbeitung 

DVB-C Digital Video Broadcasting-Cable 


DWH Data Warehouse 


E-Akte 

eAT 

e.V 

E-Commerce 

ED 

EDPS 

EDV 

EETS / EEMD 

EG 

eGK 

EG-ZIS 

EGGVG 

EHUG 

EIS 

elD 

EJG 


elektronische Akte 
elektronischer Aufenthaltstitel 
eingetragener Verein 

Elektronic Commerce/Elektronischer Handel 
Erkennungsdienst 

Europäischer Datenschutzbeauftragter 
Elektronische Datenverarbeitung 
Europäischer Elektronischer Mautdienst 
Europäische Gememschaft(en) 
elektronische Gesundheitskarte 
Europäisches Zollinformationssystem 
Einführungsgesetz zum Gerichtsverfassungsgesetz 

Gesetz über elektronische Handelsregister und Genossenschaftsregister sowie das Untemehmens- 
register 

Europäisches Informationssystem 

elektronischer Identitätsnachweis, elektronische Identitätsfunktion 
Eurojust-Gesetz 
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eKA 

ELENA 

ELStAM 

ELSTER 

E-Mail 

EMF 

EnWG 

EP 

EPC 

EPCglobal 


ERP 

EStA 

EstG 

etc. 

eTIN 

EU 

EuGH 

Eurodac 

Europol 

EVN 

EWG 

EWR 


elektronische Kriminalakte 
Elektronischer Entgeltnachweis 
Elektronische LohnSteuerAbzugsMerkmale 
Elektronische Steuererklärung 
Electronic Mail 
Elektromagnetische Felder 
Energiewirtschaftsgesetz 
Europäisches Parlament 

Electronic Product Code - Der EPC besteht aus vier Datenblöcken zur Identifizierung der Version, 
des Herstellers, der Produktkategorie und des individuellen Gegenstands 

EPCglobal Inc. ist ein Joint Venture zwischen LAN International und dem Uniform Code Council 
(UCC). Die Aufgabe des Nonprofit-Untemehmens liegt in der kommerziellen Vermarktung sowie 
der Administration des EPC 

Enterprise Resource Planning = Software der Firma SAP 

Register der Entscheidungen in Staatsangehörigkeitsangelegenheiten 

Einkommensteuergesetz 

ecetera 

Lohnsteuerliches Ordnungsmerkmal 
Europäische Union 
Europäischer Gerichtshof 

Europäisches daktyloskopisches Fingerabdrucksystem zur Identifizierung von Asylbewerbern 

Europäisches Polizeiamt 

Einzelverbindungsnachweis 

Europäische Wirtschaftsgemeinschaft 

Europäischer Wirtschaftsraum 


f 

FATCA 

FATF 

FAQ 

FBI 

FDZ 

ff 

FFl 

FG 

FGO 

FH Bund 

FIFA 

Finanzagentur 

FKS 


folgend 

Foreign Account Tax Compliance Act 

(US Gesetz zur Erfassung von Vermögenswerten von in den USA steuerpflichtigen Personen und 
Gesellschaften auf Konten im (US-)Ausland 

Financial Action Task Force on Money Laundering 
(Arbeitskreis Maßnahmen zur Geldwäschebekämpfung) 

Frequently Asked Questions (häufig gestellte Fragen) 

Federal Bureau of Investigation, USA 

F orschungsdatenzentrum 

folgende 

Foreign Financial Institution (ausländische Finanzinstitute) 

Finanzgericht 
F inanzgerichtsordnung 

Fachhochschule des Bundes für öffentliche Verwaltung 
Federation Internationale de Football Association 
Bundesrepublik Deutschland Finanzagentur GmbH 
Finanzkontrolle Schwarzarbeit 
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FTC 

FVG 

G.10 

GAG 

GASIM 

GBA 

gern. 

GDV 

GG 

ggf- 

GGO 

GIW 

GIZ 

GJVollz-E 

GKI 

GKV 

GKV-WSG 

GmbH 

GMBl 

GMG 

GPEN 

GPS 

GRCh 

GSl 

GSM 

GTAZ 

GwG 

HEGA 

HIS 

HKP 

HPC 

HSM 

HTTP 

HVBG 

HZA 

lATA 

i.d.F. 

i.d.R. 


Federal Trade Commission 
Finanzverwaltungsgesetz 

Artikel 10 Gesetz 

Governmental Advisory Committee 

Gemeinsames Analyse- und Strategiezentrum Illegale Migration 

Generalbundesanwalt beim Bundesgerichtshof 

gemäß 

Gesamtverband der Deutschen Versicherungswirtschaft 

Grundgesetz 

gegebenenfalls 

Gemeinsame Geschäftsordnung der Bundesministerien 

Geoinformationswirtschaft 

Intemetzentrum 

Gesetzentwurf zur Regelung des Jugendstrafvollzugs 
Gemeinsame Kontrollinstanz 
Gesetzliche Krankenversicherung 

Gesetz zur Stärkung des Wettbewerbs in der Gesetzlichen Krankenversicherung 
Gesellschaft mit beschränkter Haftung 
Gemeinsames Ministerialblatt 

Gesetz zur Modernisierung der gesetzlichen Krankenversicherung 

Global Privacy Enforcement Network 

Global Positioning System 

EU -Grundrechtecharta 

Global Standards One 

Global System for Mobile Communications 

Gemeinsames Terrorismusabwehrzentrum 

Geldwäschegesetz 

Handlungsempfehlung/Geschäftsanweisung der BA 

Hinweis- und Informationssystem 

häusliche Krankenpflege 

Health Professional Card 

Hardware Security Modul 

Hypertext Transfer Protocol 

Hauptverband der gewerblichen Berufsgenossenschaften 
Hauptzollamt 

International Air Transport Association 
in der Fassung 
in der Regel 



Drucksache 17/13000 


-256- 


Deutscher Bundestag - 17. Wahlperiode 


1.5. d. 

1.5. v. 
i.V.m. 
ICANN 
ICAO 
ICHEIC 
ICO 
IFG 

IFOS-Bund 

IHK 

IKPO 

IKT 

ILO 

IMI 

IMK 

IMSI 

INPOL 

InsO 

IntV 

IP 

IPR 

IPv6 

IRS 

ISDN 

ISO 

ISPPI 

IT 

IVBB 

JI-Rat 

KBA 

KdU 

KEV 

KFU 

Kfz 

KIWI 

KOM 

KWG 


im Sinne des (der) 
im Sinne von 
in Verbindung mit 

Internet Corporation for Assigned Names and Numbers 
International Civil Aviation Organization 
International Commission on Holocaust Era Insurance Claims 
The Information Commissioner’s Office 
Informationsfreiheitsgesetz 

Interaktives Fortbildungssystem für die Bundesverwaltung 
Industrie- und Handelskammer 
Internationale Kriminalpolizeiliche Organisation 
Informations- und Kommunikationstechnologie 
International Labour Organization 

Internal Market Information System (Binnenmarktinformationssystem) 

Ständige Konferenz der Innenminister und -Senatoren der Länder 

International Mobile Subscriber Identity 

Informationssystem der Polizei 

Insolvenzordnung 

Integrationskursverordnung 

Internet Protocol 

Internationales Privatrecht 

Internet Protocol Version 6 

Internal Revenue Service (Bundessteuerbehörde der USA) 

Integrated Services Digital Network 
International Organization for Standardization 

International Standard for the Protection of Privacy and Personal Information 

Informationstechnik 

Informationsverbund Berlin-Bonn 

Rat der Innen- und Justizminister der Europäischen Union 

Kraftfahrt-Bundesamt 

Kosten der Unterkunft und Heizung 

Kontrolleinheit Verkehrswege 

Krebsfrüherkennungsrichtlinien 

Kraftfahrzeug 

Kindergeld- Windows-Implementierung 
Europäische Kommission 
Kreditwesengesetz 
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LfD 

Landesbeauftragter für den Datenschutz 

LfV 

Landesamt für Verfassungsschufz 

LG 

Landgericht 

lit. 

litera (^Buchstabe) 

LKA/LKÄ 

Landeskriminalamt/Landeskriminalämter 

LuftSiG 

Gesetz zur Neuregelung von Luflsicherheitsaufgaben (Luftsicherheitsgesetz) 

m.E. 

meines Erachtens 

MAD 

Militärischer Abschirmdienst 

MAK 

Mindestanforderungen an das Kreditgeschäft der Kreditinstitute 

MDK 

Medizinischer Dienst der Krankenversicherung 

Mts 

Ministerium für Staatssicherheit 

MI6 

Military Intelligence, Section 6 

MRI 

Max-Rubner-lnstitut 

MRRG 

Melderechtsrahmengesetz 

MSISDN 

Mobile Subscriber ISDN Number 

MSU 

Mail Sampling Unit 

MVDS 

Multifunktionaler Verdienstdatensatz 

MZG 

Mikrozensusgesetz 

NADIS 

Nachrichtendienstliches Informationssystem 

NADIS-WN 

Narichtendienstliches Informationssystem - Wissensnetz 

NATO 

North Atlantic Treaty Organization 

NEMONIT 

Nationales Emährungsmonitoring 

NEC 

Near Field Communication 

NGN 

Next Generation Network 

NJW 

Neue Juristische Wochenschrift 

nPA 

elektronischer Personalausweis, neuer Personalausweis 

Nr. 

Nummer 

NSDAP 

Nationalsozialistische Deutsche Arbeiterpartei 

NTS 

Nato-Truppenstatut 

NVSII 

Nationale Verzehrstudie 11 

NWR 

Nationales Waffenregister 

o.a. 

oben aufgeführt 

OCR 

Optical Character Recognition (Optische Zeichenerkennung) 

o.g. 

oben genannt 

OECD 

Organisation für wirtschaftliche Zusammenarbeit und Entwicklung 

OFD 

Oberfinanzdirektion 

OK 

Organisierte Kriminalität, aber auch: Organisationskomitee 

OLAF 

Europäisches Amt für Betrugsbekämpfung 
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OMS Optimierte Meldeverfahren in der sozialen Sicherung 

Opol Operational Point of Contact 

OVG Oberverwaltungsgericht 

OWiG Gesetz über Ordnungswidrigkeiten 


P23R 

PassG 

PbD 

PC 

PCAOB 

PCC 

PDA 

PEl 

PEP 

PersauswG 

PIA 

PIN 

PKGr 

PNR 

Protection Profile 


Prozessdatenbeschleuniger 
Passgesetz 
Privacy by Design 
Personalcomputer 

Public Company Accounting Oversight Board 
(amerikanische Aufsichtsbehörde für Wirtschaftsprüfer) 

Privacy Commissioner of Canada 

Personal Digital Assistant 

Paul-Ehrlich-lnstitut 

politisch exponierte Personen 

Personalausweisgesetz 

Privacy Impact Assessment 

Persönliche Identifikationsnummer 

Parlamentarisches Kontrollgremium 

Passenger Name Record 

Schutzprofil 


Ratsdok. 

RatSWD 

Rdn. 

Reha 

REHA-Maßnahmen 

RFID 

RFID-Chip 

RFV 

RKl 

RLTk 

RSAV 

RVOrgG 


Ratskokument (EU) 

Rat für Sozial- und Wirtschaftsdaten 

Randnummer 

Rehabilitation 

Rehabilitationsmaßnahme 

Radio Frequency Identification - Transpondertechnik für die berührungslose Erkennung von 
Objekten 

Radio Frequency Identification-Chip (Funkchip) 

Registratur Fachverfahren 
Robert-Koch-lnstitut 
Richtlinie Telekommunikation 
Risikostrukturausgleichsverordnung 

Organisationsreform in der gesetzlichen Rentenversicherung 


S. 


SCHUFA 

SchuFV 


Seite 

siehe 

siehe oben 
siehe unten 

Schutzgemeinschaft für allgemeine Kreditsicherung 
Verordnung über die Führung des Schuldnerverzeichnisses 
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SchwarzArbG 

SDÜ 

SG 

SGB 

SGBI 

SGB II 

SGB III 

SGB IV 

SGB V 

SGB VI 

SGB VII 

SGB VIII 

SGB IX 

SGBX 

SGB XI 

SGB XII 

SigG 

SIM 

SiMKo2 

SMS 

SNS 

SOG 

sog. 

SPD 

STADA 

StAG 

Stasi 

StDAV 

StDÜV 

Steuer-ID 

StGB 

StPO 

StUG 

StVBG 

StVergAbG 

StVG 

StVollzG 

SDDSG 

SÜFV 

SÜG 

SWIFT 


Schwarzarbeitsbekämpfungsgesetz 
Schengener Durchführungsübereinkommen 
Soldatengesetz 
Sozialgesetzbuch 

Sozialgesetzbuch Erstes Buch (Allgemeiner Teil) 

Sozialgesetzbuch Zweites Buch (Grundsicherung für Arbeitssuchende) 

Sozialgesetzbuch Drittes Buch (Arbeitsforderung) 

Sozialgesetzbuch Viertes Buch (Gemeinsame Vorschriften für die Sozialversicherung) 
Sozialgesetzbuch Fünftes Buch (Gesetzliche Krankenversicherung) 

Sozialgesetzbuch Sechstes Buch (Gesetzliche Rentenversicherung) 

Sozialgesetzbuch Siebentes Buch (Gesetzliche Unfallversicherung) 

Sozialgesetzbuch Achtes Buch (Kinder- und Jugendhilfe) 

Sozialgesetzbuch Neuntes Buch (Rehabilitation und Teilhabe behinderter Menschen) 
Sozialgesetzbuch Zehntes Buch (Sozialverwaltungsverfahren und Sozialdatenschutz) 
Sozialgesetzbuch Elftes Buch (soziale Pflegeversicherung) 

Sozialgesetzbuch Zwölftes Buch (Sozialhilfe) 

Signaturgesetz 
Subscriber Identity Module 
Sichere Mobile Kommunikation 
Short Message Service 

Sichere Netzübergreifende Sprachkommunikation 
Gesetz über öffentliche Sicherheit und Ordnung 
so genannt 

Sozialdemokratische Partei Deutschlands 

Staatsangehörigkeitsdatei 

Staatsangehörigkeitsgesetz 

Staatssicherheitsdienst der ehemaligen DDR 

Steuerdaten- Abruf- Verordnung 

Steuerdatenübermittlungsverordnung 

Steuer-Identitätsnummer 

Strafgesetzbuch 

Strafprozessordnung 

Gesetz über die Unterlagen des Staatssicherheitsdienstes der ehemaligen Deutschen Demokrati- 
schen Republik (Stasi-Unterlagen-Gesetz) 

Steuerverkürzungsbekämpfungsgesetz 

Steuervergünstigungsabbaugesetz 

Straßenverkehrsgesetz 

Strafvollzugsgesetz 

Suchdienstedatenschutzgesetz 

Sicherheitsüberprüfungsfeststellungsverordnung 

Sicherheitsüberprüfungsgesetz 

Society for Worldwide Interbank Financial Telecommunication 
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TAB 

TAL 

TAN 

TB 

TBEG 

TBG 

TFG 

TFTP 

THW 

TK 

TKG 

TKÜ 

TMG 

TOP 

TR 

u. a. 

u. ä. 

UAS 

u. U. 

UIG 

ULD 

UrhG 

URL 

US 

USA 

UStG 

usw. 

VAM 

VBM 

VdAK 

VDR 

VDS 

VerBIS 

VG 

vgl. 

VIS 

VN 

VOIP 

VPN 


Büro für Technikfolgenabschätzung beim Deutschen Bundestag 

Teilnehmeranschlussleitung 

Transaktionsnummer 

Tätigkeitsbericht 

Terrorismusbekämpfungsgesetz 

Terrorismusbekämpfungsgesetz 

Transfusionsgesetz 

Terrorist Finance Tracking Pro gram 

Bundesanstalt Technisches Hilfswerk 

Telekommunikation 

Telekommunikationsgesetz 

Telekommunikationsüberwachung 

Telemediengesetz 

Tagesordnungspunkt 

Technische Richtlinie 

unter anderem 
und ähnliches 
Unmanned Aerial Systems 
unter Umständen 
Umweltinformationsgesetz 

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein 

Urheberrechtsgesetz 

Uniform Resource Locator 

United States 

United States of America 

Umsatzsteuergesetz 

und so weiter 

Virtueller Arbeitsmarkt 
vorläufiges Bearbeitungsmerkmal 
Verband der Angestellten-Krankenkassen 
Verband Deutscher Rentenversicherungsträger 
Vorratsdatenspeicherung 

Vermittlungs-, Beratungs- und Informationssystem - IT-Fachverfahren der Bundesagentur für Ar- 
beit für die Bereiche Vermittlung und Beratung 

Verwaltungsgericht 

vergleiche 

Europäisches Visa-Informationssystem 
Vereinte Nationen 
Voice over IP 

Virtual Private Network (dt. virtuelles privates Netz) 
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vpS 

Vorbeugender personeller Sabotageschutz 

VS 

Verschlusssache 

VwVfG 

Verwaltungsverfahrensgesetz 

W3C 

World Wide Web Consortium 

WADA 

Welt-Anti-Doping-Agentur 

WAP 

Wireless Application Protocol 

WehrRÄndG 

Wehrrechtsänderungsgesetz 2011 

WiMax 

Wordwide Interoperability for Microwave Access 

Standard gemäß IEEE 802.16a für lokale Funknetze 

WLAN 

Wireless Local Area Network 

WM 

Weltmeisterschaft 

WoGG 

Wohngeldgesetz 

WP 

Working Paper 

WPersAV 

Personalaktenverordnung Wehrpflichtige 

WPK 

Wirtschaftsprüferkammer 

WPG 

Wirtschaftsprüferordnung 

WPPJ 

Working Party Police and Justice (Arbeitsgruppe Polizei und Justiz) 

WPV 

Versorgungswerk der Wirtschaftsprüfer 

WSA 

Wasser- und Schifffahrtsamt 

WWW 

World wide web 

XML 

Extensible Markup Language 

z. B. 

zum Beispiel 

z. T. 

zum Teil 

ZAG 

Zentren für Arbeit und Grundsicherung 

ZAUBER 

Abrufverfahren 

ZAV 

Zentrale Auslands- und Fachvermittlung der Bundesagentur für Arbeit 

ZDG 

Zivildienstgesetz 

ZensG 2011 

Zensusgesetz 2011 

ZFdG 

Zollfahndungsdienstgesetz 

ZFER 

Zentrales Fahrerlaubnisregister 

ZIS 

Zollinformationssystem 

ZIVIT 

Zentrum für Informationsverarbeitung und Informationstechnik 

ZKA 

Zollkriminalamt 

ZNwG 

Zentrum für Nachwuchsgewinnung 

ZORA 

Zukunftsorientierte Retailanwendung 

ZPO 

Zivilprozessordnung 

zss 

Zentrale Speicherstelle 

ZStV 

Zentrales Staatsanwaltschaftliches Verfahrensregister 
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Übersicht alle Tätigkeitsberichte 


Tätigkeitsbericht 

Berichtszeitraum 

Bundestagsdrucksachennummer 

1. 

1978 

8/2460 

2. 

1979 

8/3570 

3. 

1980 

9/93 

4. 

1981 

9/1243 

5. 

1982 

9/2386 

6. 

1983 

10/877 

7. 

1984 

10/2777 

8. 

1985 

10/4690 

9. 

1986 

10/6816 

10. 

1987 

11/1693 

11. 

1988 

11/3932 

12. 

1989 

11/6458 

13. 

1990 

12/553 

14. 

1991 - 1992 

12/4805 

15. 

1993 - 1994 

13/1150 

16. 

1995 - 1996 

13/7500 

17. 

1997- 1998 

14/850 

18. 

1999-2000 

14/5555 

19. 

2001 -2002 

15/888 

20. 

2003 - 2004 

15/5252 

21. 

2005 - 2006 

16/4950 

22. 

2007 - 2008 

16/12600 

23. 

2009-2010 

17/5200 
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